Producent sprzętowych portfeli kryptowalutowych Keystone poinformował o włamaniu do swojego sklepu internetowego: napastnicy uzyskali dostęp do imion, danych kontaktowych, adresów dostawy i szczegółów zamówień klientów, podała firma w oświadczeniu z 24 października.
Firma wykryła nieautoryzowany dostęp do sklepu działającego na platformie Shopify 20 października i potwierdziła go 23 października. Według Keystone dane płatnicze, dane bankowe, frazy seed, klucze prywatne i hasła do portfeli nie zostały naruszone.
Wcześniej firma publicznie obiecywała usuwanie danych o dostawie klientów 180 dni po zamówieniu i twierdziła, że w przeciwieństwie do innych producentów portfeli nie przechowuje danych klientów bezterminowo. Poszkodowani klienci twierdzą co innego: jeden poinformował, że kupił portfel ponad dwa lata temu, u innego od ostatniego zamówienia minęło 214 dni, czyli wyraźnie więcej niż obiecany termin.
Firma przeprosiła klientów. „Powierzyliście nam te dane i przykro nam, że nie zdołaliśmy ich ochronić”, czytamy w oświadczeniu Keystone. Ostrzeżono też użytkowników, by nigdy nie ujawniali nikomu frazy seed ani kluczy prywatnych do portfela.
Część klientów zgłosiła próby oszustwa, w których napastnicy powoływali się na dane ich wcześniejszych zamówień. Wyciek adresów domowych właścicieli portfeli sprzętowych budzi też obawy o bezpieczeństwo fizyczne: ujawnione adresy pozwalają ustalić, kto przechowuje duże sumy w kryptowalutach.
Keystone nie ujawnił liczby poszkodowanych klientów, sposobu, w jaki działali napastnicy, ani ich tożsamości.
Podobny przypadek miał już miejsce w branży: w 2020 roku wyciek na stronie konkurenta Keystone, firmy Ledger, dotknął dane około 272 tysięcy klientów, a niektórzy z nich otrzymywali później pocztą fałszywe listy z żądaniem podania frazy seed.
