Engedély nélküli hozzáférést találtak a Keystone hardvertárca gyártójának weboldalán október 20-án, és a cég négy nappal később közölte, hogy harmadik fél hozzájutott a vásárlók adataihoz.
A Shopify API-forgalmának átnézése után, október 23-án erősítették meg, hogy az adatok kikerültek, nyilvánosan pedig október 24-én számoltak be róla.
Személyes adatok
Ami kikerült, az a vásárlók neve, elérhetősége, szállítási címe, valamint a rendelés részletei, vagyis a megvásárolt termék és annak ára.
We owe you an apology.
On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we're sorry we…
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
Ami nem került ki a cég szerint, az a bankkártya- és bankadatok, a helyreállítási szavak, a privát kulcsok és a tárca jelszavai. A hozzáférést blokkolták, a hibát javították.
Kriptót nem vittek el, a tárcákban lévő érmék érintetlenek maradtak, ami kikerült, az viszont pont az az adatcsomag, amiből egy csaló meggyőző telefonhívást épít, ismeri a nevet, a címet, és azt is, hogy az illető pontosan mit vásárolt, mikor és mennyiért.
A Keystone maga figyelmeztetett erre, a csalók a cég munkatársának kiadva magukat visszatérítést, cseretárcát vagy segítséget kínálhatnak a rendeléssel és a szállítási címmel kapcsolatban.
Rosszindulatú szerver
A fizikai kockázat ettől függetlenül ott van. Aki hardvertárcát rendel, a saját otthoni vagy munkahelyi címére kéri, a szivárgásból tehát kiderül, kinél lehet otthon kriptó.
Ez a hardvertárca-piac régi sebe. Az érintetteknek érdemes gyanakodniuk minden olyan megkeresésre, amely a rendelésükre hivatkozik, és soha nem szabad bediktálni senkinek a helyreállítási seedet vagy a PIN-kódot.
De a korábbi nagy szivárgások óta tudni lehet, hogy az ilyen adatbázisok nem pusztán adathalászatra jók, hiszen ha a fizikai cím nyilvánosságra kerül, akkor ahogyan a Ledger eset után is beszámolt róla pár felhasználó, akár fizikai támadás vagy fenyegetés is bekövetkezhet.
A napokban ráadásul nem a Keystone az egyetlen, amely bajba került, két másik viszonylag nagyobb támadás is történt.
A második támadás egy szoftvert vett célba, mégpedig az Electrumot, és itt pénz is elveszett.
Az Electrum, a Bitcoin egyik legrégebbi tárcaprogramja október 24-én kiadta a 4.8.3-as verziót, és minden felhasználót frissítésre kért, miután egy támadó több szervert is el tudott téríteni.
De hogy lesz ebből lopás? Egy rosszindulatú szerver visszatartja a felhasználó utalását, túl alacsony díjra hivatkozva, és a tárca előzményei közé beilleszt egy hamis tranzakciót, amelyben a címzett helyén a támadó címe áll.
A hamis tranzakció aláírása érvénytelen, a régebbi kliensek viszont nem ellenőrizték az aláírást, mielőtt megerősítetlenként megjelenítették.
Ha a felhasználó ezután kézzel megemeli a díjat, a tárca már az átírt tranzakciót írja alá, és a pénz a támadóhoz kerül.
A fejlesztők két bejelentést is kaptak, ezek egyikében a felhasználó veszített pénzt, és a támadó címe mindkét esetben az eredeti cím utolsó négy karakterét utánozta.
A 4.8.3 verzió mostantól ellenőrzi az érméket elküldő bemenetek aláírását, mielőtt egy megerősítetlen tranzakció bekerül a helyi előzményekbe.
A kulcsok erősek, az infrastruktúra nem mindig
A harmadik támadás egy protokoll szavazási rendszerét vette célba, nem a felhasználók tárcáit, vagy a személyes adataikat.
Az X100 esetében a támadók kölcsönzött pénzzel megszerezték a háromtagú szenátus két helyét, majd megszavazták 400 ezer X token eladását egy általuk létrehozott új poolba.
Egy második tranzakció ugyanígy kivonta a likviditást és eladta a visszaszerzett tokeneket, a teljes veszteség pedig eléri a mintegy 4,85 millió USDT-t.
A Blockaid riasztása szerint a támadás még tartott, amikor jelentették, a zsákmányt pedig négy darab 400 etheres tárcába osztották szét.
Három különböző szint, egy közös minta. A gyártó háttérrendszere, a tárcaszoftver kódja és a protokoll szavazási mechanizmusa mind azon kívül esik, amit a kriptográfia véd.
A kulcsok erősek maradtak, a körülöttük lévő infrastruktúra nem, és ezt már a hackerek is tudják.
Olvastad már? A bitcoin-ETF-ek pluszban, az ethereum-alapok mínuszban
Kriptoworld.hu szerkesztője, a Kriptoworld.hu alapítója
LinkedIn | X (Twitter) | Facebook
A Kriptoworld.hu alapítójaként és szerkesztőjeként írásaiban azt vizsgálom, hogyan alakítják át a gazdasági és technológiai változások az emberek döntéseit, biztonságérzetét és jövőképét. Olyan nézőpontból írok, amely a gyors hírek mögötti következményeket és kérdéseket keresi. Hiszek abban, hogy a kriptovilágról nem csak technikailag, hanem emberi nyelven is lehet hitelesen beszélni. Írásaim célja nem tanácsadás, hanem megértés: segíteni eligazodni egy olyan világban, ahol a pénz, a technológia és a bizalom egyszerre változik.
📅 Megjelenés: 2026. október 27. • 🕓 Utolsó frissítés: 2026. október 27.
✉️ Kapcsolat: [email protected]
Tájékoztatás: A kriptoworld.hu oldalon található információk és elemzések a szerzők magánvéleményét tükrözik. A jelen oldalon megjelenő írások, cikkek nem valósítanak meg a 2007. évi CXXXVIII. törvény (Bszt.) 4. § (2). bek 8. pontja szerinti befektetési elemzést és a 9. pont szerinti befektetési tanácsadást.
Bármely befektetési döntés meghozatala során az adott befektetés megfelelőségét csak az adott befektető személyére szabott vizsgálattal lehet megállapítani, melyre a jelen oldal nem vállalkozik és nem is alkalmas. Az egyes befektetési döntések előtt éppen ezért tájékozódjon részletesen és több forrásból, szükség esetén konzultáljon befektetési tanácsadóval!
A cikkekben megjelenő esetleges hibákért téves információkból eredendő anyagi károkért a kriptoworld.hu felelősséget nem vállal.