Keystone afferma che la violazione del sito ha esposto gli indirizzi degli acquirenti di hardware wallet

Il produttore di hardware wallet crypto Keystone ha reso nota una violazione della sicurezza del sito web che ha esposto informazioni sui clienti agli aggressori, alimentando preoccupazioni per truffe mirate e attacchi fisici. 

Keystone ha dichiarato sabato di aver rilevato attività sospette all’inizio della settimana e di aver confermato venerdì, dopo aver esaminato l’attività delle API con Shopify, che una terza parte non autorizzata aveva avuto accesso alle informazioni di spedizione dei clienti. Queste includevano nomi, recapiti, indirizzi di spedizione e altri dettagli degli ordini, come gli articoli acquistati. 

«Abbiamo bloccato l’accesso, corretto la vulnerabilità, avviato un’indagine e stiamo inviando email ai clienti interessati», ha dichiarato l’azienda.

Keystone ha avvertito che le informazioni esposte potrebbero essere utilizzate per attacchi di phishing mirati. Tuttavia, anche il ricercatore di sicurezza Taylor Monahan ha espresso preoccupazione per il fatto che la divulgazione degli indirizzi di spedizione possa esporre i clienti ad attacchi fisici e rapimenti. 

La società di sicurezza blockchain CertiK ha registrato 52 attacchi con chiave inglese verificati nel mondo nella prima metà del 2026, il 33% in più rispetto ai 39 dello stesso periodo dell’anno scorso. Questi crimini, comunemente chiamati «attacchi con chiave inglese», consistono nell’uso di minacce fisiche o violenza per costringere i detentori di criptovalute a consegnare i propri asset. 

«Ancora una volta, siamo davvero dispiaciuti per tutte le persone colpite», ha dichiarato Keystone. L’azienda non ha reso noto quanti clienti siano stati coinvolti. 

Keystone sotto pressione per la promessa di eliminare i dati dei clienti

La violazione ha inoltre sollevato interrogativi sulla gestione delle informazioni dei vecchi clienti da parte di Keystone. 

In un post sul blog del 2023, Keystone ha dichiarato di aver ridotto a 180 giorni il periodo di conservazione dei dati dei clienti in seguito a incidenti di sicurezza che avevano coinvolto altri produttori di hardware wallet. 

Tuttavia, alcuni clienti hanno affermato di aver ricevuto notifiche della violazione nonostante avessero acquistato i propri dispositivi più di due anni fa, sollevando interrogativi su quali informazioni Keystone avesse conservato e sulla possibilità che le notifiche indichino che i vecchi registri degli ordini non siano stati eliminati come promesso. 

Correlato: L’Italia indaga su una violazione delle email governative collegata alla fuga di dati di Revolut

Un utente di X noto come «OG DEGEN» ha dichiarato di aver ricevuto una chiamata da un truffatore che sosteneva di essere un agente delle forze dell’ordine impegnato a indagare su un caso di frode. L’utente ha sospettato che il chiamante avesse ottenuto le sue informazioni tramite un ordine Keystone effettuato nel 2024, sulla base dei dati personali a cui il chiamante aveva fatto riferimento. 

«Penso che il loro piano fosse convincermi che le mie chiavi private fossero state esposte e poi inviarmi un link di phishing per reimpostarle», ha scritto su X. 

Un altro utente di X, trintaetres, ha anch’egli dichiarato di aver ricevuto la notifica via email nonostante avesse acquistato il dispositivo più di due anni fa. 

Cointelegraph ha contattato Keystone per chiedere come potessero essere state esposte informazioni sui clienti relative ad acquisti effettuati più di 180 giorni prima, nonostante la politica di conservazione annunciata in precedenza, e quanti clienti fossero stati coinvolti. L’azienda non ha risposto entro il momento della pubblicazione. 

Rivista: Gli agenti IA aiutano a salvare il fork Glamsterdam di ETH, sito «Steal My Bitcoin»: Hodler’s Digest