Keystone bejelentése szerint október 20-án jogosulatlan hozzáférést észleltek a hivatalos weboldalon; október 23-án a Shopify API-tevékenység áttekintése után igazolták, hogy egy harmadik fél megszerezte ügyfelek nevét, elérhetőségét, szállítási címét és rendelési adatokat, köztük a vásárolt eszközöket és az árakat. A cég hangsúlyozta, hogy bankkártya- és bankszámla-adatok, tárcajelszavak, helyreállító kifejezések és privát kulcsok nem kerültek kompromittálódásra. Keystone blokkolta a hozzáférést, foltozta a sebezhetőséget, vizsgálatot indított és e-mailben értesíti az érintetteket; részletes jelentést ígérnek a következő napokban.
A kiszivárgott adatok miatt hangsúlyos a célzott adathalász és szociális mérnöki kockázat: a támadók telefonon, SMS-ben, e-mailben vagy fizikai levelekkel hamis képviseletet színlelhetnek, hamis visszatérítést vagy csereeszközt kínálva. Az esemény különösen kényelmetlen időszakban történt a hardver-tárca iparág számára: a Ledgernél módosított, a 24 szavas helyreállító kifejezést továbbító eszközökről számoltak be, amelyekhez kezdeti jelentések szerint akár 86 millió dollár gyanús kripto-veszteség is kapcsolódhat, bár ezt Ledger nem erősítette meg. Trezor pedig a ShipMonk logisztikai szolgáltatónál bekövetkezett adatszivárgás miatt növekvő számú ügyféladat kitettségét jelentette.
Adatmegőrzés és fizikai kockázatok
A friss hírek megerősítik, hogy a támadást a Keystone október 20-i webes behatolásához kötik, és a cég Shopify API-tevékenység átvizsgálása után erősítette meg a szállítási adatok megszerzését. Új elemként a bejelentések hangsúlyozzák a fizikai veszélyekre vonatkozó kockázatokat: a biztonsági kutató Taylor Monahan rámutatott, hogy a kiszivárgott szállítási címek rabolásra vagy elrablásra is kitetthetik a kriptoeszközök tulajdonosait, és felidézi a „wrench attack” jelenségét. Tovább árnyalja a helyzetet a CertiK által közölt adat: 2026 első felében globálisan 52 igazolt wrench támadást regisztráltak, ami 33%-os növekedés az előző év azonos időszakához képest.
A másik lényeges új fejlemény a cég korábbi adatmegőrzési vállalásainak kérdése: a források szerint 2023-ban a Keystone azt írta, hogy 180 napra csökkentette a vásárlói adatok megtartását, ám több felhasználó arról számolt be, hogy értesítést kapott régebbi, akár két évnél idősebb rendelések kapcsán. Egyes ügyfelek azt is leírták, hogy csalók telefonon a rendelésekből ismert részletekre hivatkozva próbáltak bizalmat kelteni. A cég nem adott választ a sajtó kérdéseire arról, hogyan kerülhettek elő korábban töröltnek hitt adatok, és hány ügyfél érintett.