Keystone, produttore di hardware wallet, ha reso nota il 24 ottobre 2026 un'intrusione nel suo negozio online e poi, il 26 ottobre, il furto della chiave che autentica i suoi dispositivi. Secondo l'azienda, sono trapelati i dati di 25'964 acquirenti. I fondi dei clienti non sono esposti, ma 18'835 dispositivi in magazzino vengono rottamati.
Che cosa è successo da Keystone?
Il 20 ottobre 2026 Keystone ha rilevato un accesso non autorizzato al suo sito ufficiale. Secondo Journal du Coin, l'aggressore è passato attraverso la falla di uno strumento di terze parti per il tracciamento dei dati, installato sul negozio. Questo punto d'ingresso gli ha dato diritti molto più ampi del previsto.
L'azienda ha verificato con Shopify le chiamate alla sua interfaccia di programmazione (API). Il 23 ottobre ha confermato che un terzo aveva ottenuto informazioni di consegna. Ha bloccato l'accesso, corretto la falla e avviato un'indagine.
Sono seguiti due comunicati. Quello del 24 ottobre, pubblicato su X, riguarda i dati dei clienti e presenta delle scuse. Quello del 26 ottobre aggiunge un elemento più delicato: la chiave WebAuth, che prova l'autenticità dei dispositivi, figura tra gli elementi sottratti.
Quali dati dei clienti sono trapelati?
Secondo Keystone, l'aggressore ha ottenuto 25'964 schede di acquirenti e 12'873 carrelli abbandonati, risalenti al periodo dal 2024 al 2026. Questi file contengono nomi, recapiti, indirizzi di consegna e dettaglio degli ordini. Le vendite effettuate tramite Amazon e gli altri canali non sono interessate.
La durata di conservazione solleva interrogativi. Keystone assicura di cancellare questi dati dopo 180 giorni, ma il suo strumento di cancellazione automatica ha funzionato male senza che il team se ne accorgesse. La durata passa ora a 90 giorni. Le richieste di cancellazione presentate a Shopify dovrebbero essere evase il 3 novembre 2026.
| Elemento | Colpito secondo Keystone? |
|---|---|
| Nomi, recapiti, indirizzi di consegna | Sì |
| Dettaglio degli ordini | Sì |
| Chiave WebAuth di autenticazione dei dispositivi | Sì |
| Frasi di recupero e chiavi private | No |
| Dati bancari | No |
| Password del wallet | No |
A che cosa serve la chiave di autenticazione di un hardware wallet?
La chiave WebAuth serve unicamente a verificare che un dispositivo Keystone sia autentico. Viene impressa in fabbrica e non può più essere modificata in seguito. Non interviene mai nelle transazioni.
Il controllo si effettua sulla pagina keyst.one/authentication. Secondo Keystone, l'utente scansiona un codice QR con il suo dispositivo, inserisce il codice visualizzato e riceve il risultato in uno o due minuti. Questo test è pensato contro gli attacchi alla catena di approvvigionamento, quando un dispositivo viene modificato tra la fabbrica e la consegna.
Il furto della chiave indebolisce proprio questa salvaguardia. Come spiega Journal du Coin, un falsario che la possiede può imprimere lo stesso chip in un clone. Il dispositivo falso supererebbe allora il controllo del sito, senza che l'acquirente possa sospettarlo.
Keystone ha quindi congelato le scorte. I 18'835 dispositivi dotati della vecchia chiave vengono distrutti. Le spedizioni dal sito sono sospese e le vendite passano in preordine, il tempo di produrre dispositivi con una nuova chiave.
Il mio portafoglio crypto è in pericolo?
Secondo Keystone, no. L'azienda esclude dagli elementi accessibili le frasi di recupero, le chiavi private, i dati bancari e le password del wallet. Nessuno ha bisogno di spostare i propri fondi.
I dispositivi consegnati prima del 20 ottobre 2026 che superano il controllo di autenticazione restano sicuri, secondo il produttore. La sua pagina di verifica ricorda che le chiavi private non lasciano mai il dispositivo e che il test non espone alcun dato sensibile.
Che cosa fare se si possiede un Keystone?
- Dispositivo consegnato prima del 20 ottobre 2026: avviare la verifica sul sito ufficiale. Se la supera, Keystone lo considera sicuro.
- Pacco arrivato dopo il 20 ottobre con la vecchia chiave: Keystone non può «escludere completamente» una contraffazione. Occorre contattare il supporto prima di qualsiasi utilizzo.
- Verifica non superata: smettere di usare il dispositivo, non inserirvi assolutamente la propria frase di recupero, conservare una schermata del risultato e scrivere a support@keyst.one.
- Richiesta di «richiamo»: Keystone non richiama alcun dispositivo. Qualsiasi messaggio che reclami il vostro è una truffa.
La regola di base della sicurezza crypto non cambia. In occasione del falso aggiornamento Ledger, la società SlowMist la riassumeva così: non inserire mai la propria frase di recupero da nessuna parte.
Perché gli indirizzi rubati contano comunque
La nostra analisi: un nome, un indirizzo e il dettaglio di un ordine bastano a rendere credibile un messaggio fraudolento. Il truffatore può citare un acquisto reale, il che disarma la diffidenza del cliente.
Il precedente è recente. Nell'ottobre 2026, dopo il caso dei Ledger manomessi venduti nel Sud-Est asiatico, un'e-mail firmata «The Ledger Team» prometteva una correzione del firmware e chiedeva le 24 parole. I truffatori puntavano sulla preoccupazione dei possessori, come potrebbero fare con i clienti di Keystone.
Journal du Coin riassume la posta in gioco: un wallet resta sicuro finché la sua chiave privata non si muove. L'anello debole è diventato tutto ciò che lo circonda, dal negozio al pacco.
E per i clienti in Svizzera?
Keystone non fornisce alcuna ripartizione per Paese dei clienti colpiti. Il numero di acquirenti domiciliati in Svizzera resta quindi sconosciuto. Nonostante il nome, l'azienda non ha alcun legame con l'agenzia di stampa svizzera Keystone-ATS.
L'incidente si inserisce in una tendenza che l'Incaricato federale della protezione dei dati e della trasparenza segue da vicino. Ha ricevuto 455 notifiche di violazioni di dati in Svizzera dall'inizio del 2026, contro 343 in tutto il 2025. Secondo l'Incaricato, l'interconnessione dei dati aumenta il rischio di violazione. La nostra analisi: il caso Keystone lo illustra, poiché l'attacco è passato attraverso uno strumento di terze parti collegato al negozio.
Che cosa non si sa ancora
- Il nome dello strumento di terze parti per il tracciamento dei dati attraverso il quale è entrato l'aggressore.
- Il modo in cui la chiave WebAuth ha potuto essere sottratta durante un'intrusione nel sito.
- Se cloni dotati della chiave rubata circolano già.
- La data di ripresa delle spedizioni con dispositivi dotati della nuova chiave.
- Il numero di clienti interessati in Svizzera.
