Keystone 10 月25 日证实，官方网络商店遭第三方未经授权存取，导致客户姓名、电子邮件、电话、收件地址及订单资讯遭窃。更引发争议的是，Keystone 过去曾以「180 天自动删除出货资料」作为隐私保护卖点，如今却有用户表示，两年前购买硬件钱包的订单资讯疑似也受到影响，让外界开始质疑Keystone 是否确实履行资料删除承诺。

Keystone 承认客户资料遭窃，强调私钥、助记词未外泄

根据Keystone 官方声明，公司于10 月20 日侦测到网站遭未经授​​权存取，并在10 月23 日核对Shopify 应用程式介面（API）活动后，确认攻击者取得部分客户资料。

外泄范围包括姓名、联络资讯、配送地址，以及购买品项与价格等订单明细。 Keystone 强调，信用卡及银行资料、钱包复原助记词、私钥与密码均未受影响。官方还表示，已封锁存取路径、修补漏洞并启动调查，目前正透过电子邮件通知受影响客户，但尚未披露受害人数、骇客身分及具体入侵方式。

承诺180 天删资料，两年前订单却疑似仍在系统内？

Keystone 过去多次以严格资料保留政策作为品牌优势。今年1 月及3 月，公司曾在X 宣称，用户下单180 天后，出货资料将被永久删除。不过，事件曝光后，多名客户在X 提出质疑。

用户@trintaetres_33 表示，自己超过两年前购买的装置，仍收到资料外泄通知；@BlockchainBarmy 则表示，上一次订购与此次事件相隔214 天，已超过Keystone 宣称的删除期限。另一名用户@PEPE_Whale69 更声称，曾接获冒充蒙特娄警方的诈骗电话，对方能准确说出其2024 年Keystone 订单相关资料。 Keystone 随后表示已启动紧急调查。

不过，目前尚无法独立确认这些旧订单资料确实来自本次外泄，或是否经由其他管道取得。

Keystone 不同官方文件对资料删除的描述存在差异。隐私政策宣称会删除最近180 天未再下单客户的订单资料；客服中心则指出，删除流程可能需要两至三周，城市与国家纪录仍会保留，最终删除由Shopify 执行。

然而，这次真正需要厘清的，是Keystone 如何管理合作平台保存的资料，以及承诺删除的纪录是否仍存在于可被存取的系统中。

对硬件钱包用户而言，这类资料外泄的危险不只限于垃圾邮件。攻击者一旦掌握客户姓名、住址与购买纪录，便可能假冒官方客服，以设备召回、退款、补发钱包或安全升级为由，诱导受害者透露助记词，甚至寄送经过恶意改装的装置。

链上安全研究员Taylor Monahan 更警告，硬件钱包购买者的实际地址遭曝光，可能增加遭受实体威胁的风险。

根据资安机构CertiK 报告，2026 年上半年全球已确认52 起针对加密资产持有人的实体胁迫事件（Wrench Attacks），较去年同期的39 起增加33.3%；涉及的已记录损失及勒索金额约1.241 亿美元，高于去年同期的1,050 万美元。

Ledger 、 Trezor 接连出事，硬件钱包的安全战场正在改变

Keystone 并非今年唯一发生客户资料安全事件的硬件钱包品牌。

今年8 月，Trezor 披露物流合作商ShipMonk 遭遇资料外泄，最初涉及近1.4 万名客户，随后又确认约6.7 万名美国客户受到影响。 SafePal 亦曾因订单追踪系统问题，导致近4 万名客户资料外露。

10 月Ledger也确认部分经销商出售的装置遭恶意植入硬件。虽然上述事件的攻击方式与影响程度各不相同，但凸显硬件钱包的安全问题，已不只是离线储存私钥是否安全。

从下单、付款、物流配送，到装置取得与启用，整条供应链都可能成为攻击入口。

这起事件真正暴露的风险是：即使硬件钱包没有遭破解，使用者仍可能因购买纪录外泄，成为针对性诈骗甚至实体犯罪的目标。对Keystone 而言，下一步的关键不只是修补漏洞，更是公开交代遭窃资料的时间范围、删除政策是否落实，以及为何两年前的客户仍可能受到影响。

本文链接地址：https://www.wwsww.cn/qianbao/42094.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。