Keystone объявила об уничтожении 18 835 непроданных аппаратных кошельков и приостановке отгрузок после взлома сайта компании 20 октября. Атакующий получил доступ через уязвимость в стороннем инструменте мониторинга данных, в результате чего скомпрометировались данные 25 964 покупателей за период 2024-2026 годов (имена, контакты, адреса доставки, информация о заказах) и ещё 12 873 незавершённых заказов.
Самое критичное в этом взломе не столько утечка персональных данных, сколько раскрытие встроенного в производстве криптографического ключа, который используется для проверки подлинности устройств при подключении к сети. Этот ключ зашит в микросхеме и не может быть изменён после выпуска — именно поэтому Keystone вынуждена уничтожать весь непроданный инвентарь. Без этого шага поддельные кошельки с контрафактным чипом смогут выглядеть как оригинальные при проверке, создавая риск для пользователей, которые будут думать, что покупают подлинный продукт.
В отношении хранения данных клиентов обнаружилась системная проблема: некоторые записи о покупателях хранились дольше заявленного сроком в 180 дней, потому что автоматизированный инструмент удаления данных вышел из строя, и никто этого не заметил. Это указывает на отсутствие мониторинга за критичными процессами удаления информации.
Инцидент вписывается в паттерн атак на производителей аппаратных кошельков в 2026 году. У Ledger преступники через reseller'ов в Юго-Восточной Азии физически модифицировали устройства, добавляя компоненты для перехвата seed-фраз при инициализации. У Coldcard обнаружилась уязвимость в алгоритме генерации семян, позволяющая злоумышленникам восстанавливать приватные ключи удалённо. Получается, что аппаратные кошельки, которые позиционируются как максимально защищённое хранилище крипто-активов, демонстрируют целый спектр уязвимостей — от сбоев в цепи поставок до ошибок в криптографии и управлении доступом к сервисам.
Масштаб уничтожения почти 19 тысяч устройств — это существенный удар по Keystone как по бизнесу, но технически неизбежный. Альтернатива (продавать потенциально компрометированные устройства) была бы хуже для репутации и привела бы к массовым убыткам пользователей. Вопрос — почему ключ вообще оказался в доступных компании системах, которые подключены к интернету? Типовая практика должна была бы хранить такие материалы в полностью изолированной среде.
Для российского бизнеса, работающего с крипто-платежами или считающего аппаратные кошельки частью своего решения для клиентов (например, в рамках финтех-сервисов или B2B платежей), этот инцидент — прямой урок о проверке поставщиков и цепи поставок. Если вы рекомендуете или распределяете аппаратные кошельки, нужна верификация источника и каналов, через которые они попадают к вам. Платформы для управления крипто-активами (такие как Signum для блокчейн-транзакций) могут интегрировать такие хранилища, но их безопасность полностью зависит от надёжности самого девайса — поэтому выбор поставщика критичен.
Keystone будет отправлять замены затронутым клиентам, но это не отменяет основной вывод: любой производитель криптографических устройств должен воспринимать безопасность сервиса (в том числе того, где хранятся критичные ключи) так же серьёзно, как безопасность самого продукта. Иначе физическая защита контролюсов теряет смысл.