Keystone: l’intruso del negozio online ha preso anche la chiave di autenticazione dei dispositivi, 18.835 wallet saranno distrutti

Aggiornamento del 26 ottobre 2026, 18:00 UTC: Keystone afferma che l’intruso ha sottratto anche la chiave WebAuth con cui l’azienda dimostra che i suoi dispositivi sono autentici, dopo essere entrato da una falla in uno strumento di monitoraggio dei dati di terze parti usato dal sito. In una dichiarazione pubblicata su X alle 14:02 UTC conta 25.964 schede di acquirenti con dati personali e 12.873 checkout non pagati, e annuncia che distruggerà 18.835 wallet in magazzino e passerà a una nuova chiave in produzione. Secondo Keystone frasi di recupero e chiavi private non sono coinvolte e i proprietari non devono spostare i fondi a causa dell’incidente; i dispositivi ricevuti dopo blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 20 ottobre richiedono però una verifica in più con l’assistenza.

Keystone, azienda con sede a Hong Kong che produce l’hardware wallet air-gapped omonimo, afferma che un intruso è entrato nel suo sito ufficiale e ha sottratto nomi, recapiti, indirizzi di spedizione e dettagli degli ordini, compresi gli articoli acquistati e i prezzi pagati. L’azienda ha reso nota la violazione dei dati di Keystone wallet in un post su X sabato 24 ottobre alle 17:59 UTC, spiegando di aver confermato il furto il giorno prima controllando l’attività delle API con Shopify, la piattaforma che gestisce il suo negozio online.

Il post del 24 ottobre non diceva quanti clienti fossero coinvolti né come l’intruso fosse entrato. La seconda dichiarazione di Keystone, del 26 ottobre, risponde su entrambi i punti e aggiunge che è stata sottratta anche una chiave di autenticazione dei dispositivi. Entrambi i testi affermano che frasi di recupero, chiavi private e dati di pagamento bancari non sono stati esposti, e non risultano perdite di fondi. Per gli acquirenti il pericolo è una truffa costruita sul proprio nome e indirizzo, oppure un dispositivo contraffatto venduto come autentico, non un wallet svuotato dalla violazione in sé.

Bitcoin.com News, Glitchwire, Coin Edition e Crypto Briefing, tra gli altri, hanno scritto del primo post il 24 ottobre; i loro articoli ripetono quanto dichiarato da Keystone e non confermano la violazione in modo indipendente. La dichiarazione del 26 ottobre, un articolo pubblicato sull’account X di Keystone alle 14:02 UTC, è stata ripresa un’ora dopo da crypto.news e in giornata da DeFiprime. Le cifre sono quelle dell’azienda.

La cronologia di Keystone: accesso rilevato il 20 ottobre, confermato il 23

«Vi dobbiamo delle scuse», esordisce il post. «Il 20 ottobre abbiamo rilevato un accesso non autorizzato al nostro sito ufficiale.» Il 23 ottobre, dopo aver verificato l’attività delle API con Shopify, Keystone dice di aver confermato che un terzo aveva ottenuto i dati di spedizione dei clienti. Glitchwire riferisce che Keystone usa Shopify per il proprio e-commerce.

Da allora, per ammissione della stessa azienda, l’accesso è stato bloccato, la vulnerabilità corretta, è stata aperta un’indagine ed è iniziato l’invio di email ai clienti coinvolti. «Un rapporto dettagliato arriverà presto», si legge nel post, senza una data. Coin Edition riferisce che una risposta successiva dell’azienda parlava dei «prossimi giorni». Il resoconto completo è arrivato due giorni dopo, il 26 ottobre.

L’avviso vive su X, non sul sito di Keystone. Quando Coindaro ha controllato, il 25 ottobre, la homepage di keyst.one non conteneva alcun avviso sull’incidente e l’indirizzo keyst.one/blog restituiva un errore 404. Bitcoin.com News ha pubblicato il suo articolo alle 20:30 UTC del 24 ottobre, due ore e mezza dopo il post. Anche la seconda dichiarazione è uscita solo su X.

Cosa è uscito dallo shop di Keystone e cosa, secondo l’azienda, no

Il post elenca quattro tipi di dati: nomi, recapiti, indirizzi di spedizione e dettagli degli ordini, con articoli e prezzi. Non specifica che cosa comprendano i «recapiti». Le schede di spedizione di solito contengono un numero di telefono e un indirizzo email, ma Keystone non l’ha detto.

Messi insieme, questi dati formano uno schedario di acquirenti. Chi lo possiede conosce nome e indirizzo di una persona, sa come raggiungerla e sa che ha pagato un dispositivo pensato per custodire criptovalute. Non dice nulla su ciò che il wallet contiene. Dice però dove mandare la lettera o il corriere.

Keystone elenca ciò che non è stato esposto: dati di carte di pagamento o conti bancari, frasi di recupero, chiavi private e password dei wallet. È un’affermazione dell’azienda e nessun soggetto esterno l’ha verificata. Si accorda con la progettazione del prodotto. I dispositivi Keystone dialogano con telefono o computer tramite codici QR mostrati sullo schermo, e non via USB, Bluetooth o Wi-Fi, osserva Glitchwire. Una violazione del negozio non arriva fino al punto in cui le transazioni vengono firmate.

Bitcoin.com News l’ha messa così: le difese crittografiche, a quanto si sa, «hanno retto». Il rischio ora è l’ingegneria sociale, cioè qualcuno che convince il proprietario a consegnare la frase di recupero o ad approvare un trasferimento.

Il conteggio di Keystone: 25.964 schede di acquirenti contenevano ancora dati personali

La dichiarazione del 26 ottobre dà per la prima volta i numeri della fuga. L’intrusione ha riguardato 51.083 schede di acquirenti generate dagli acquisti sul negozio Shopify del sito di Keystone, schede conservate e gestite da Shopify. Per 25.119 di esse i dati personali erano già stati cancellati prima dell’attacco, in base alla politica di conservazione di Keystone, e restavano solo ordini anonimizzati. Le altre 25.964 contenevano ancora nomi, recapiti, indirizzi di spedizione e dati degli ordini, per acquisti fatti tra il 2024 e il 2026. Gli ordini passati da Amazon e dagli altri canali di vendita non sono coinvolti, secondo Keystone.

Un secondo gruppo il 24 ottobre non era stato nemmeno citato: 12.873 checkout in cui un acquirente aveva inserito nome, recapiti e indirizzo di spedizione senza poi pagare. Keystone ammette che parte di questi dati può essere incompleta o sbagliata, ma considera quelle persone coinvolte e le avviserà per email.

Se c’erano ancora dati di due anni fa, è perché una pulizia non ha funzionato. La regola di Keystone prevedeva di cancellare le schede degli acquirenti dopo 180 giorni. Dato che il pannello di Shopify gestisce le cancellazioni una scheda alla volta, l’azienda aveva creato un proprio strumento di cancellazione in blocco, che su alcune operazioni ha fallito senza che nessuno se ne accorgesse. «Non abbiamo rispettato l’impegno di cancellare in tempo i dati dei clienti, e ce ne assumiamo la responsabilità», scrive Keystone.

La conservazione ora scende a 90 giorni. Il 24 ottobre Keystone ha chiesto a Shopify di cancellare tutti i dati personali degli acquirenti più vecchi di 90 giorni e quelli dei checkout più vecchi di 30 giorni. Shopify impone un’attesa di 10 giorni, quindi l’azienda prevede di completare la cancellazione il 3 novembre e promette di comunicarne l’esito. Anche la fuga di Trezor del 2026 aveva un’origine simile, vecchi dati di ordini che il partner logistico non aveva cancellato (vedi sotto).

Come è entrato l’intruso: uno strumento di monitoraggio di terze parti, secondo Keystone

Il 24 ottobre Keystone parlava solo di una «vulnerabilità» corretta e di attività delle API controllata con Shopify. La dichiarazione del 26 ottobre va oltre. Il suo sistema di monitoraggio ha segnalato un accesso anomalo il 20 ottobre, e l’attaccante aveva sfruttato una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti usato dal sito per ottenere privilegi più alti. Keystone dice di aver disattivato lo stesso giorno le funzioni sensibili del sito e bloccato i punti di accesso. Non nomina lo strumento e non dice se fosse un’app di Shopify. Non spiega nemmeno come uno strumento del negozio online abbia portato a una chiave dei dispositivi, una lacuna segnalata anche da DeFiprime. Coindaro non ha trovato alcuna dichiarazione di Shopify sull’incidente.

Anche la durata dell’accesso è incerta. Keystone lo ha rilevato il 20 ottobre e ha confermato il furto di dati il 23, ma non ha detto quando l’intruso sia entrato la prima volta. Nessun gruppo ha rivendicato l’attacco e non risulta alcuna richiesta di riscatto.

Il primo post di Keystone non citava alcuna autorità per la protezione dei dati. La dichiarazione del 26 ottobre afferma che le segnalazioni «sono già state presentate nell’UE, nel Regno Unito e in altre giurisdizioni», senza nominare le autorità, e Coindaro non ha trovato avvisi pubblici di nessuna di esse. Come regola generale dell’articolo 33 del Regolamento generale sulla protezione dei dati (GDPR) dell’UE, chi è responsabile di dati personali deve notificare una violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. L’articolo 34 aggiunge l’obbligo di informare gli interessati quando il rischio per loro è elevato. In Italia questa regola si applica attraverso il Garante per la protezione dei dati personali. Keystone non ha detto quante delle persone coinvolte vivano nell’UE, né se abbia un rappresentante nell’Unione.

Rubata la chiave WebAuth di Keystone: cosa permette e cosa no

Per i proprietari la chiave è la parte più seria delle nuove informazioni. Keystone dice che l’attaccante ha ottenuto anche la chiave WebAuth con cui verifica, tramite la sua pagina di autenticazione dei dispositivi, che un dispositivo sia autentico. La chiave viene scritta in ogni dispositivo in fabbrica e non può essere cancellata né riscritta. Secondo l’azienda non ha alcun ruolo nella generazione delle frasi di recupero, nella derivazione delle chiavi private o nella firma delle transazioni.

Per questo, secondo la società, i fondi custoditi su un Keystone autentico non sono a rischio per il furto. Il pericolo sta più a valle, nella catena di fornitura. «Se viene esposta, un attaccante potrebbe usarla per produrre dispositivi contraffatti che superano i controlli di autenticazione», scrive Keystone, aggiungendo che questi falsi potrebbero essere venduti o spediti agli acquirenti e portare al furto dei loro fondi. Coindaro finora non ha trovato segnalazioni di Keystone contraffatti.

La risposta di Keystone parte dalla fabbrica. La produzione smette subito di usare la vecchia chiave e i nuovi dispositivi ne ricevono una nuova. I 18.835 dispositivi in magazzino con la vecchia chiave saranno distrutti invece che venduti. Le spedizioni di tutti gli ordini non ancora partiti dal sito ufficiale sono sospese e le vendite passano al preordine finché i dispositivi con la nuova chiave non saranno pronti; Keystone non dà una data. L’azienda non chiederà a nessuno di restituire un dispositivo e dice che chiunque ne chieda uno con il pretesto di un «richiamo» va trattato come un truffatore.

Resta un punto aperto: quando Coindaro ha consultato la pagina di autenticazione il 26 ottobre, non c’era alcun avviso sull’incidente e le sue FAQ dicevano ancora che un esito positivo conferma che hardware e firmware sono autentici. Per i dispositivi con la vecchia chiave ricevuti dopo il 20 ottobre, la dichiarazione di Keystone dice che non basta più.

Phishing su Keystone wallet: le truffe che l’azienda invita ad aspettarsi

Telefono, SMS, email e posta sono i canali indicati da Keystone. Indica anche i pretesti: rimborsi, dispositivi sostitutivi e «correzioni» per un ordine o un indirizzo di consegna. «Niente di tutto questo viene da noi», scrive Keystone. Afferma che non chiederà mai una frase di recupero o una chiave privata, invita i proprietari a digitare di persona keyst.one nel browser invece di cliccare sui link di messaggi inattesi e a scrivere a [email protected] se qualcosa non torna.

La dichiarazione del 26 ottobre aggiunge altri copioni da tenere d’occhio: telefonate o messaggi che offrono «migrazione degli asset», «verifica del wallet» o «assistenza alle indagini», e il falso richiamo descritto sopra. Keystone invita a non fidarsi e a non fare nulla di affrettato con il proprio wallet.

Il dispositivo sostitutivo merita il massimo sospetto. Un wallet che arriva senza averlo chiesto può essere manomesso o contenere una frase di recupero già stampata, il che significa che chi l’ha stampata possiede le chiavi. Questo mese Coindaro ha raccontato dei dispositivi Ledger manomessi venduti tramite un rivenditore e di un falso avviso inviato attraverso la stessa app di Ngrave, che ha svuotato almeno 2,56 milioni di dollari da circa 70 wallet.

I codici QR sono un caso particolare per i proprietari di Keystone, perché scansionarli è il modo in cui il wallet funziona. I soli codici che rientrano in quella routine sono quelli mostrati dal proprio dispositivo e dalla propria app collegata, mai uno stampato su una lettera o arrivato in un messaggio.

Ledger 2020, Trezor 2024 e 2026: le violazioni di dati degli hardware wallet seguono gli acquirenti per anni

Keystone è l’ultimo produttore di hardware wallet a perdere l’elenco dei propri clienti, e i casi precedenti mostrano per quanto tempo questi dati restino in circolazione. Il parallelo più vicino è Ledger, l’azienda francese, il cui resoconto è raccolto in un post del 13 gennaio 2021.

Il 14 luglio 2020 un ricercatore segnalò a Ledger, tramite il suo programma di bug bounty, che il database di e-commerce e marketing era stato raggiunto con la chiave API di un terzo. Ledger chiuse la falla lo stesso giorno, informò l’autorità francese per la protezione dei dati, la CNIL, il 17 luglio e scrisse ai clienti il 29 luglio. Quella prima violazione riguardava più di un milione di indirizzi email e circa 9.500 schede dettagliate con nome, indirizzo, numero di telefono e prodotti ordinati.

Il 20 dicembre 2020 i database completi comparvero su un forum: circa 272.000 schede con nomi, indirizzi postali e numeri di telefono, più il milione e oltre di email. Il 23 dicembre Shopify informò Ledger di un incidente distinto, nel quale uno o più membri infedeli del supporto di Shopify avevano esportato i dati dei clienti dei commercianti ad aprile e giugno 2020. In quell’esportazione c’erano circa 292.000 clienti di Ledger. Secondo Ledger, l’insieme era simile al 93% ai dati già esposti e conteneva circa 20.000 schede nuove. A gennaio 2021 aveva fatto chiudere 216 siti di phishing e diceva che l’FBI e la RCMP canadese stavano indagando.

Il caso Ledger del 2020 e quello Keystone del 2026 hanno due elementi in comune: un negozio gestito con Shopify e dati di spedizione rubati.

Trezor è seguita a gennaio 2024. Il produttore disse che un portale di ticket di assistenza gestito da terzi era stato raggiunto senza autorizzazione, esponendo nomi o nomi utente e indirizzi email di circa 66.000 utenti, secondo BleepingComputer, che riferì che i dati furono poi usati in tentativi di phishing mirati alle frasi di recupero dei wallet. Gli indirizzi postali non facevano parte di quell’insieme.

Nel 2026 Trezor è stata colpita attraverso il suo partner logistico, ShipMonk. BleepingComputer ha riferito il 7 settembre che la prima comunicazione, del 13 agosto, riguardava quasi 14.000 clienti in Brasile, Colombia, Italia, Portogallo, Svezia e Regno Unito che avevano ordinato tra il 10 maggio e l’8 agosto 2026. Un aggiornamento ha aggiunto 67.000 clienti statunitensi con ordini da novembre 2019 ad agosto 2021, per un totale di 81.000. Trezor sostiene che ShipMonk non aveva cancellato quei dati più vecchi nonostante rassicurazioni scritte. Le email di notifica viste da BleepingComputer attribuiscono la colpa a una vulnerabilità dello strumento di analisi Metabase; ShipMonk non ha spiegato come sia stata violata.

Gli indirizzi trapelati potrebbero spiegare anche le lettere. Decrypt ha riferito il 17 febbraio 2026 che i proprietari ricevevano lettere stampate con marchi e ologrammi di Trezor o Ledger, che chiedevano di scansionare un codice QR per un «Authentication Check» o «Transaction Check» obbligatorio. Il ricercatore di cybersicurezza Dmitry Smilyanets ha pubblicato su X il 12 febbraio una lettera con marchio Trezor e timbro postale statunitense; quelle a tema Ledger circolavano da ottobre 2025. Secondo Decrypt, i mittenti attingono probabilmente a anni di dati di clienti trapelati, un legame che nessuno ha dimostrato. Finora nessun acquirente di Keystone ha segnalato lettere di questo tipo.

I proprietari di Coldcard, da parte loro, sono andati in tribunale: si veda il nostro articolo sulla class action di Toronto contro Coinkite.

Il mio wallet Keystone è sicuro? Cosa possono fare ora i proprietari

I proprietari non devono trasferire i loro asset «solo a causa di questo incidente», afferma Keystone, perché frasi di recupero e chiavi private non ne fanno parte. Vale finché la frase di recupero non ha mai lasciato il dispositivo e il suo backup su carta o metallo, e finché il dispositivo è autentico. La prima cosa da fare dipende da quando è arrivato il wallet.

• Consegnato prima del 20 ottobre 2026: secondo Keystone l’autenticazione non è toccata. Eseguite la verifica su keyst.one/authentication/; se il dispositivo la supera, si può usare normalmente.
• Ricevuto dopo il 20 ottobre con la vecchia chiave: anche se supera la verifica online, non configuratelo e non trasferiteci fondi per ora. Seguite le istruzioni della pagina di autenticazione per contattare l’assistenza e ottenere una verifica aggiuntiva, e usate il dispositivo solo quando Keystone ne avrà confermato l’autenticità. L’azienda non spiega come capire quale chiave abbia un dispositivo né in cosa consista il controllo in più.
• Se la verifica fallisce, smettete di usare il dispositivo, non inseriteci mai una frase di recupero, conservate uno screenshot dell’esito e scrivete a [email protected], come indica la pagina di autenticazione.
• Non spedite il vostro dispositivo a nessuno. Keystone dice di non aver avviato alcun richiamo.
• Un ordine fatto su keyst.one e non ancora spedito resta in attesa finché non saranno prodotti i dispositivi con la nuova chiave; Keystone non ha indicato una data di spedizione.

Gli altri passaggi servono a non farsi estorcere la frase con l’inganno.

• Leggete l’email di notifica di Keystone se la ricevete, ma contattate l’azienda solo digitando keyst.one o scrivendo a [email protected], non tramite link o numeri contenuti in un messaggio.
• Considerate ostile qualsiasi rimborso, offerta di sostituzione o «problema con l’ordine» che vi arrivi per telefono, SMS, email o posta, finché Keystone non lo conferma attraverso quei canali.
• Rifiutate un dispositivo che non avete ordinato. Il post di Keystone dice di non inserire mai la propria frase di recupero in uno di essi, e un wallet che arriva con una frase già scritta va buttato.
• Non digitate, non fotografate e non leggete ad alta voce la vostra frase di recupero, chiunque ve la chieda. Keystone dice che non lo farà mai.
• Scansionate solo i codici QR mostrati dal vostro Keystone e dalla sua app collegata, mai uno stampato su una lettera o inviato in un messaggio.
• Se avete già inserito la frase su un sito o l’avete data a chi vi ha telefonato, create un nuovo wallet con una nuova frase e spostatevi i fondi.

La nostra guida su come conservare in sicurezza una frase di recupero tratta i backup e cosa fare se una frase è stata esposta, mentre la guida per evitare le truffe crypto elenca gli schemi più comuni e dove segnalarli. Aspettatevi tentativi prolungati: i dati di Ledger del 2020 alimentavano ancora il phishing mesi dopo, e le lettere segnalate nel 2026 sono arrivate a proprietari di dispositivi sia Ledger sia Trezor.

Prossime tappe: cancellazione dei dati attesa il 3 novembre, nessuna data per i nuovi dispositivi

Il rapporto dettagliato promesso il 24 ottobre è arrivato due giorni dopo e rimanda diversi passaggi. La cancellazione su Shopify dovrebbe completarsi il 3 novembre e Keystone dice che ne confermerà l’esito. Una pagina in cui gli acquirenti potranno controllare se i loro dati sono stati esposti, e un’altra che mostrerà se sono stati cancellati, sono promesse senza data, come le email individuali, un audit di sicurezza e la ripresa delle spedizioni.

Non si sa ancora quale sia lo strumento di monitoraggio, come abbia portato alla chiave dei dispositivi, quali modelli o lotti abbiano la vecchia chiave, quanti di questi dispositivi siano arrivati agli acquirenti dopo il 20 ottobre e in cosa consista la verifica aggiuntiva. Il quadro pubblico ora contiene quattro date: accesso rilevato il 20 ottobre, furto confermato il 23 ottobre, prima comunicazione il 24 ottobre, dichiarazione completa il 26 ottobre.