Keystone po wycieku: adresy klientów ujawnione

Keystone potwierdza wyciek danych klientów

Producent hardware walletów Keystone przyznał, że jego sklep internetowy padł ofiarą naruszenia bezpieczeństwa. W ręce nieuprawnionej strony mogły trafić imiona i nazwiska, dane kontaktowe, adresy wysyłki oraz szczegóły zamówień. Firma podkreśla, że nie wyciekły seed phrase, klucze prywatne ani dane płatnicze.

Największe obawy dotyczą jednak czegoś innego niż same portfele. Połączenie nazwiska z adresem i informacją o zakupie sprzętowego walleta może ułatwić celowane ataki phishingowe, ale też bardziej niebezpieczne próby wyłudzeń w świecie fizycznym.

Ryzyko nie kończy się na phishingu

Keystone ostrzegł użytkowników, że ujawnione dane mogą posłużyć do podszywania się pod firmę i wysyłania fałszywych wiadomości, telefonów lub paczek. W praktyce oznacza to, że oszuści mogą próbować:

przekonać ofiarę do podania frazy odzyskiwania,
namówić ją do „weryfikacji” portfela przez link lub formularz,
podszyć się pod policję, kuriera albo dział wsparcia,
dostarczyć rzekome „urządzenie zastępcze” lub „aktualizację bezpieczeństwa”.

To szczególnie ważne w kontekście tzw. wrench attacks, czyli ataków, w których przestępcy używają presji, gróźb lub przemocy, aby wymusić dostęp do kryptowalut. W ostatnim czasie takie przypadki pojawiały się częściej, niż wielu użytkowników zakłada.

Co wiadomo o czasie i skali incydentu

Firma poinformowała, że nieautoryzowany dostęp wykryto 20 października 2026 roku, a potwierdzenie naruszenia nastąpiło po analizie aktywności API z Shopify 23 października. Publiczny komunikat ukazał się dzień później. Keystone twierdzi, że zablokował dostęp, usunął lukę i rozpoczął wewnętrzne dochodzenie.

Wciąż jednak nie podano najważniejszych szczegółów:

ilu klientów dotyczy wyciek,
z jakiego okresu pochodzą ujawnione rekordy,
jaka dokładnie luka została wykorzystana.

To właśnie ostatni punkt budzi szczególne pytania, bo część użytkowników zgłasza, że otrzymała alert mimo zakupu urządzenia ponad dwa lata temu. Jeśli dane rzeczywiście obejmują starsze zamówienia, mogłoby to oznaczać, że nie wszystkie informacje zostały usunięte zgodnie z wcześniejszymi deklaracjami firmy.

180 dni, a może dłużej?

Keystone wcześniej deklarował, że dane wysyłkowe są usuwane po 180 dniach. Jednak późniejsza polityka prywatności brzmiała już inaczej i odnosiła się do klientów, którzy nie składali zamówienia w ciągu ostatnich 180 dni. To ważna różnica, bo sugeruje, że liczy się czas od ostatniego zakupu, a nie od pierwszego.

W praktyce oznacza to, że nie jest jasne, czy starsze rekordy faktycznie zostały skasowane. Jeśli w wycieku znalazły się zamówienia sprzed ponad pół roku, firma będzie musiała wyjaśnić, czy jej własne zasady retencji danych zostały dotrzymane.

Co powinni zrobić użytkownicy

Osoby, które kupowały urządzenie Keystone, powinny zachować wzmożoną ostrożność. Najważniejsze zasady są proste:

sprawdzić skrzynkę mailową, także spam,
nie klikać w linki z wiadomości o rzekomym problemie z zamówieniem,
nigdy nie podawać frazy odzyskiwania ani kluczy prywatnych,
ignorować telefony i wiadomości z prośbą o „weryfikację” portfela,
nie wpisywać seed phrase do urządzeń, których nie zamawiano samodzielnie,
w razie wątpliwości kontaktować się wyłącznie przez oficjalne kanały.

Warto też pamiętać, że sama znajomość adresu dostawy nie oznacza jeszcze utraty środków. Problem polega na tym, że w oczach oszusta taki adres może potwierdzać, że ktoś faktycznie korzysta z krypto i posiada sprzętowy portfel.

Kolejny dowód, że celem są zwykle usługi wokół portfela

Ten incydent wpisuje się w znany już schemat: atakujący rzadko łamią sam portfel sprzętowy, częściej uderzają w sklep, system wysyłki albo usługę mailingową. To właśnie tam gromadzone są dane, które później można wykorzystać w socjotechnice.

Dla użytkowników to przypomnienie, że bezpieczeństwo kryptowalut nie kończy się na samym urządzeniu. Równie ważna jest ostrożność przy zakupie, odbiorze przesyłek i reagowaniu na każdy kontakt dotyczący portfela.