Виробники апаратних криптогаманців Foundation і Keystone повідомили про інциденти безпеки, під час яких зловмисники отримали доступ до даних клієнтів. Keystone також знищить 18 835 нерозпроданих пристроїв через витік ключа автентифікації.
Про це пише видання Gizmodo.
Foundation 26 жовтня повідомила про фішингову кампанію, під час якої користувачам надсилали листи з адрес, що виглядали як офіційні домени компанії. У повідомленнях ішлося про нібито термінове відкликання пристроїв через змінені дисплейні модулі та крадіжку коштів. Ця інформація була неправдивою.
Співзасновник і генеральний директор Foundation Зак Герберт пояснив, що зловмисники отримали доступ до частини внутрішньої інфраструктури компанії через вразливість у застосунку, який вона розміщувала самостійно. Імовірно, нападники могли переглядати листування зі службою підтримки та надсилати клієнтам переконливі шахрайські повідомлення. Компанія заявила, що заблокувала їхні дії протягом 10 хвилин після перших повідомлень від користувачів.
У деяких листах містилися імена, адреси проживання та номери телефонів клієнтів.
За словами Герберта, ці відомості могли походити з поштової скриньки служби підтримки, інших нещодавніх витоків у криптовалютній галузі або замовлень у новому інтернет-магазині Foundation.
Компанія також визнала недоліки у видаленні персональних даних. Її політика передбачала зберігання імен, адрес, телефонів та електронної пошти протягом 60 днів після відправлення замовлення. Однак після перенесення бази даних старі копії замовлень залишилися в таблицях попередньої системи, хоча адміністративна панель уже не показувала їх як такі, що містять персональну інформацію.
Інший інцидент стався в Keystone. Компанія виявила несанкціонований доступ до свого офіційного сайту 20 жовтня. Після перевірки вона підтвердила витік імен, контактних даних, адрес доставки та відомостей про замовлення, зокрема придбані товари й ціни.
За даними Keystone, нападник скористався вразливістю стороннього інструмента моніторингу даних на сайті, що дозволило йому отримати розширені права доступу. Крім інформації про покупців, зловмисник заволодів ключем WebAuth, який використовують для перевірки справжності пристроїв.
Цей ключ записують у криптогаманці під час виробництва, і змінити або стерти його після цього неможливо.
Компанія виявила 25 964 записи покупців, які все ще містили персональну інформацію про замовлення, зроблені у 2024−2026 роках. Загалом у системі Shopify було 51 083 записи покупців, але дані понад 25 тисяч із них до моменту зламу вже видалили або знеособили. Крім того, витік охопив 12 873 незавершені оформлення замовлень, у яких зберігалися імена, контактні дані та адреси доставки.
Keystone пояснила, що її політика передбачала видалення персональних даних через 180 днів, однак автоматизований інструмент для масового очищення працював ненадійно. Частина завдань завершувалася невдало, і компанія вчасно цього не виявляла.
У відповідь Keystone знищить 18 835 пристроїв із наявних запасів, у яких записано скомпрометований ключ автентифікації. Їх не продаватимуть і не відправлятимуть покупцям. Пристрої, отримані до 20 жовтня, можна перевіряти звичайним способом. Однак для гаманців зі старим ключем, доставлених після цієї дати, компанія не може повністю виключити підроблення,
навіть якщо онлайн-перевірка підтверджує їхню справжність. Таким користувачам рекомендують звернутися до служби підтримки.
Обидва випадки сталися на тлі інших серйозних проблем із безпекою виробників апаратних криптогаманців у 2026 році. Раніше витоки даних зачепили клієнтів Ledger, Trezor і BitBox. Окремо повідомлялося про вразливість у програмному забезпеченні гаманців Coldcard і атаку на ланцюг постачання Ledger, які призвели до безпосередньої втрати криптовалютних активів. За оцінками, сукупні збитки від цих двох інцидентів перевищили 200 млн доларів.
Витік адрес доставки створює для власників криптовалют не лише ризик шахрайства. Якщо зловмисники знають, де живе людина, яка придбала пристрій для зберігання значних сум у криптовалюті, це може загрожувати її фізичній безпеці. Дослідники з кібербезпеки попереджають, що такі дані можуть використовувати для нападів і викрадень.
Апаратні гаманці зберігають приватні ключі — дані, необхідні для доступу до криптовалют, — окремо від комп’ютерів, підключених до інтернету. Це допомагає захищатися від багатьох дистанційних атак, але не усуває ризиків, пов’язаних із витоками даних клієнтів, виробничими процесами та перевіркою справжності пристроїв.
На тлі нових інцидентів дослідниця безпеки криптовалют Тейлор Монаган закликала виробників припинити критикувати конкурентів через їхні проблеми із захистом. На її думку, низка інцидентів показала, що жоден виробник апаратних гаманців не має підстав вважати себе захищеним від подібних загроз.
Читайте також:
- Здійснилася крипто-революція. Мережу Ethereum відключили від майнінгу, щоб вона стала більш екологічною та ефективною
- Зламати крипту. Хакер вкрав у блокчейн-компанії $7 млн
- Майбутнє за криптою. Керівник OpenAI назвав біткоїн ефективним засобом у боротьбі з корупцією
