Производитель аппаратных криптовалютных кошельков Keystone сообщил о взломе своего интернет-магазина: злоумышленники получили доступ к именам, контактным данным, адресам доставки и деталям заказов клиентов, говорится в заявлении компании от 24 октября.
Неавторизованный доступ к магазину на платформе Shopify компания обнаружила 20 октября и подтвердила 23 октября. По словам Keystone, платежные данные, банковские реквизиты, seed-фразы, приватные ключи и пароли от кошельков в утечку не попали.
Ранее компания публично обещала удалять данные о доставке клиентов через 180 дней после заказа и заявляла, что, в отличие от других производителей кошельков, не хранит их вечно. Пострадавшие клиенты утверждают обратное: один сообщил, что купил кошелек больше двух лет назад, у другого с момента последнего заказа прошло 214 дней, то есть заметно больше обещанного срока.
Компания принесла извинения клиентам. «Вы доверили нам эти данные, и мы сожалеем, что не смогли их защитить», говорится в заявлении Keystone. Она также предупредила пользователей никогда не сообщать посторонним seed-фразу или приватные ключи от кошелька.
Некоторые клиенты сообщили о попытках мошенничества, в которых злоумышленники ссылались на данные их прошлых заказов. Утечка домашних адресов владельцев аппаратных кошельков вызывает опасения и за физическую безопасность: по раскрытым адресам можно вычислить, кто хранит крупные суммы в криптовалюте.
Keystone не раскрыла ни число пострадавших клиентов, ни способ, которым воспользовались злоумышленники, ни их личность.
Похожий случай уже происходил на рынке: в 2020 году из-за утечки на сайте конкурента Keystone, компании Ledger, пострадали данные около 272 тысяч клиентов, и некоторым из них позже по почте приходили поддельные письма с требованием сообщить seed-фразу.
