Аппаратный кошелёк защищает твои ключи. Он не защищает факт, что ты его купил. 24 октября 2026 производитель кошельков Keystone сообщил клиентам, что посторонний получил данные доставки из его интернет-магазина — имена, контакты, адреса и то, что каждый заказывал.
Пост Keystone в X начинался словами: «Мы должны перед вами извиниться». Для покупателей важнее другой вопрос: что можно сделать со списком людей, у которых есть крипта, и их адресами.
Главное
- Keystone заметил несанкционированный доступ к магазину 20 октября 2026, а 23 октября, проверив API-активность в Shopify, подтвердил, что посторонний получил данные доставки клиентов.
- Украдены имена, контакты, адреса доставки и детали заказов, включая купленные товары и цены.
- По словам Keystone, seed-фразы, приватные ключи, пароли устройств и платёжные данные не затронуты.
- Сколько клиентов пострадало, за какой период и как атакующий проник внутрь, Keystone не раскрыл.
- Это очередная утечка у продавцов кошельков в 2026 году: Trezor (13 689 клиентов, позже ещё ~67 000 в США) и SafePal (39 798 клиентов).
- Keystone предупреждает о мошенниках, которые предлагают фейковые возвраты, бесплатную замену устройств и «помощь» с заказами и адресами доставки.
Какие данные украли при утечке Keystone?
Атакующий получил данные доставки из интернет-магазина Keystone: имена, контакты, адреса доставки и детали заказов — какие товары купили и почём. Keystone говорит, что seed-фразы, приватные ключи, пароли устройств и банковские данные не затронуты, хотя независимого форензик-отчёта пока не опубликовал.
Keystone раскрыл инцидент в посте в X 24 октября. Компания говорит, что заблокировала доступ, закрыла использованную уязвимость, начала расследование, рассылает письма пострадавшим и опубликует подробный отчёт. Число пострадавших, период украденных заказов, способ проникновения и разбивку по странам не раскрыла.
Seed может быть офлайн. Твой адрес — никогда.
Почему утечка в магазине важна, если ключи в безопасности?
Потому что она превращает список клиентов в список целей. Имя, домашний адрес и подтверждение покупки аппаратного кошелька говорят преступникам, у кого, скорее всего, есть крипта и где его искать. Исследователь безопасности Тейлор Монахан предупредила, как пишет crypto.news, что такие данные могут подвергнуть покупателей физическим угрозам, вплоть до ограбления и похищения.
Более частый риск — фишинг. Имея на руках реальные детали заказов, мошенники могут слать очень убедительные письма и SMS о «возвратах», «замене устройств» или «проблемах с адресом доставки» — ровно о тех уловках, о которых предупреждает Keystone.
Тенденция 2026 года
В этом году продажи кошельков стали лёгкой мишенью. В августе 2026 Trezor сообщил об утечке через партнёра по доставке: сначала 13 689 клиентов, потом ещё около 67 000 клиентов из США с заказами 2019–2021 годов. В сентябре SafePal назвал 39 798 пострадавших через надстройку отслеживания посылок. О почтовой стороне истории с Trezor мы писали в сентябрьском материале.
Что делать клиентам Keystone прямо сейчас?
Исходи из того, что любое сообщение о твоём заказе может быть фейком. Keystone никогда не попросит seed-фразу, и ни для возврата, ни для замены она не нужна. Не переходи по ссылкам из неожиданных писем и SMS — заходи на официальный сайт сам. С подозрением относись к посылкам, которых не ждал: «бесплатное» устройство на замену, которое ты не заказывал, использовать нельзя.
- Никогда не вводи seed на сайте, в приложении или форме, что бы ни говорилось в сообщении.
- Считай любое незаказанное устройство враждебным и не подключай его.
- Не обсуждай свои активы публично, особенно если твой адрес теперь известен.
- Для будущих заказов подумай о пункте выдачи или рабочем адресе, чтобы домашний адрес не попадал в базы магазинов.
Что это значит для тех, кто ценит приватность при свапах
Большинство советов по приватности в крипте касаются блокчейна. Такие утечки показывают, что бумажный след вокруг крипты — заказы, аккаунты, доставки — утекает так же легко. Чем меньше персональных данных ты отдаёшь третьим сторонам, тем меньше можно украсть.
Для свапа в SwapZilla аккаунт не нужен: выбираешь пару, вставляешь адрес получения и отправляешь. Провайдеры при этом могут проводить свои AML-проверки по отдельным транзакциям, так что это не обещание анонимности. Если хочешь разделить ещё и ончейн-историю, наша страница приватного маршрута описывает вариант через Monero, а этот гайд — что Monero скрывает и чего не скрывает.
Финальная мысль
Извинение Keystone лучше молчания, и заявление о сохранности ключей, скорее всего, правда. Но безопасность кошелька теперь включает магазин, транспортную наклейку и почтовый ящик. Каждая компания, которая знает, что ты купил кошелёк, — часть твоей модели угроз.