Clienții Keystone care au primit portofele după 20 octombrie trebuie să contacteze asistența pentru verificări

Luni, 26 octombrie 2026, Keystone a anunțat că va distruge stocul de 18.835 de portofele nevândute. Acestea conțin cheia de verificare a autenticității obținută de atacator, iar codul înscris în fabrică nu poate fi șters sau înlocuit.

https://t.co/IbtXqeqKAX

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Data livrării stabilește ce verificări sunt necesare

Compania face distincție între produsele deja ajunse la cumpărători și comenzile rămase neexpediate:

• Pentru dispozitivele livrate înainte de 20 octombrie 2026, Keystone afirmă că incidentul nu le afectează.
• Pentru cumpărătorii care primesc ulterior un dispozitiv, riscul prezentat de companie este ca un portofel contrafăcut să arate ca unul nou și să treacă verificarea autenticității, fiind confundat cu un produs original.
• Pentru comenzile plasate pe site-ul propriu care nu fuseseră expediate, Keystone a suspendat livrările.

Separat de cheia folosită pentru recunoașterea produselor originale, compania afirmă că nu au fost implicate cheile private, adică acele coduri care controlează criptomonedele, sau frazele de recuperare, folosite pentru restabilirea accesului la portofel.

Cheia furată ar putea face ca un portofel fals să treacă verificarea

Codul compromis poartă numele WebAuth. Este introdus în fiecare dispozitiv în fabrică și permite verificarea pe o pagină a site-ului Keystone, pentru a confirma că produsul este autentic.

În declarația de luni, 26 octombrie, producătorul a explicat riscul folosirii acestei chei de către atacator, în traducere: „Dacă este expusă, un atacator ar putea să o folosească pentru a produce dispozitive contrafăcute care trec verificările de autentificare. Aceste dispozitive ar putea fi apoi vândute sau trimise clienților, care le-ar putea folosi fără să știe că nu sunt produse autentice, ceea ce ar putea duce la furtul activelor.”

Incidentul fusese anunțat inițial sâmbătă ca o scurgere de informații despre clienți. Actualizarea de luni a adăugat compromiterea mecanismului de autentificare și numărul înregistrărilor care mai conțineau date personale.

Declarația de luni a Keystone nu identifică persoana sau grupul responsabil de incident și nu precizează când a obținut atacatorul acces. Data detectării incidentului nu stabilește, așadar, momentul în care a început accesul atacatorului.

Expunerea datelor privește cumpărăturile din magazinul Shopify

Incidentul a cuprins 51.083 de înregistrări ale cumpărătorilor din magazinul Keystone administrat prin Shopify, platforma care gestiona vânzările online. Din 25.119 de înregistrări fuseseră deja eliminate informațiile personale.

În celelalte 25.964 de înregistrări, aferente perioadei 2024-2026, se mai găseau numele cumpărătorilor, datele de contact, adresele de livrare și informațiile despre comenzi. Compania afirmă că achizițiile prin Amazon și prin alte canale nu au fost afectate.

Politica aplicată anterior prevedea ștergerea înregistrărilor după 180 de zile. Instrumentul automat construit pentru eliminarea lor în masă nu a funcționat însă constant.

Despre păstrarea informațiilor peste termen, compania și-a asumat responsabilitatea, în traducere: „Unele operațiuni de ștergere au eșuat, iar noi nu am detectat și remediat aceste eșecuri la timp, astfel încât anumite informații personale au fost păstrate peste perioada permisă. Nu ne-am respectat angajamentul de a șterge la timp datele clienților și ne asumăm responsabilitatea pentru acest eșec.”

Solicitările de returnare nu vin din partea Keystone

Producătorul a avertizat asupra tentativelor de înșelăciune în care persoanele contactate primesc oferte pentru:

• Migrarea activelor, adică mutarea criptomonedelor.
• Verificarea portofelului.
• Asistență pentru investigație.

În avertismentul adresat proprietarilor de dispozitive, Keystone a precizat, în traducere: „Nu vă vom cere să returnați dispozitivul.”

Compania a adăugat, tot în traducere: „Oricine vă contactează sub pretextul unei «retrageri de pe piață» și vă cere să îi trimiteți dispozitivul trebuie tratat ca un escroc.”

Expunerea adreselor are și un context de siguranță fizică: în atacurile prin constrângere, infractorii folosesc amenințări sau violență pentru a obliga proprietarii să predea criptomonedele. Chainalysis a numărat 46 de atacuri violente în prima jumătate a anului 2026, cu peste 30 de milioane de dolari furați.

Alți producători au raportat anterior incidente privind datele clienților. Scurgerea Ledger din 2020 a ajuns să afecteze aproximativ 292.000 de clienți. Unii dintre cei care au primit ulterior mesaje înșelătoare s-au temut că ar putea deveni ținta unor intrări prin forță în locuințe.

În august, Trezor a anunțat compromiterea datelor a 13.689 de clienți, iar SafePal a raportat un incident care a afectat aproximativ 39.798 de clienți.

Comenzile noi trec la precomenzi până la producția cu altă cheie

Vânzările de pe site-ul Keystone vor funcționa ca precomenzi până când va fi încheiată producția dispozitivelor cu o cheie nouă. Compania afirmă că a transmis rapoarte autorităților din Uniunea Europeană, Regatul Unit și alte jurisdicții.

Pentru datele cumpărătorilor, perioada de păstrare a fost redusă de la 180 la 90 de zile. La 24 octombrie 2026, Keystone a cerut Shopify să elimine toate datele păstrate peste termen.

Procedura presupune o perioadă de așteptare de 10 zile. Compania estimează că ștergerea va fi încheiată la 3 noiembrie 2026.