Keystone 漏洞加剧，18,835 硬件钱包面临销毁

认证密钥遭窃迫使Keystone报废18,835个钱包

起初看似是一起客户信息泄露事件，如今却演变为一个严重得多的安全问题。2026年10月26日，Keystone披露，攻击者还获取了用于验证其硬件钱包真伪的认证密钥。

该公司追踪到此次入侵源于第三方数据监控工具中的一个漏洞，该漏洞使攻击者得以提升其访问权限。Keystone 于 10 月 20 日检测到可疑活动，随即禁用了存在漏洞的网站功能，并展开了取证调查。

被盗的WebAuth密钥带来了一个特别棘手的问题。持有该密钥的攻击者可以制造出能够通过Keystone真伪验证的伪造设备，这可能会使毫无戒心的买家面临资产被盗的风险。 Keystone解释称，该密钥在制造过程中被永久嵌入，无法被重写或删除。 因此，这家硬件钱包制造商计划销毁现有库存中所有18,835台含有该受影响密钥的设备。新生产的钱包将配备替换的认证密钥。与此同时，Keystone已暂停网站未发货订单的发货，并转为预售模式，直至替换产品生产就绪。

数据删除系统故障致近26,000条买家记录泄露

调查还揭露了Keystone客户数据管理中存在严重缺陷。在审查的51,083条Shopify买家记录中，有25,964条仍保留着个人信息，包括姓名、送货地址、联系方式以及2024年至2026年的购买记录。 Keystone承认其自动删除系统出现故障，导致客户信息在超过180天保留期限后仍被存储。“我们未能履行按时删除客户数据的承诺，并为此承担责任，”该公司表示。

调查人员还发现了12,873条未付款的结账记录，其中包含潜在的敏感客户信息。Keystone已将这些记录纳入其回应中，并已发起额外的删除请求。 该制造商已将数据保留期缩短至90天，并预计10月24日提交的逾期买家数据删除请求将于11月3日完成处理。Keystone发布的这份最新事后分析报告，紧随波士顿硬件钱包制造商Foundation的披露之后——后者同样遭遇了客户数据泄露事件。

现有钱包持有者收到新的安全指引

Keystone 坚称，恢复短语、私钥、钱包凭证和支付信息均未泄露。公司并未仅因此次事件而要求客户转移其加密货币。该公司表示，10月20日前交付的设备，只要通过身份验证，仍可安全使用。 此后收到的、使用了受影响密钥的设备，即使认证成功，也需通过客户支持进行额外验证。 Keystone 还警告客户警惕要求退回设备的欺诈性召回信息。该公司已向欧盟、英国及其他司法管辖区提交了监管报告，并计划推出数据泄露查询工具并开展进一步的安全审计。 对于一家销售旨在消除对第三方信任的设备的制造商而言，丢失用于建立对其自身硬件信任的密钥，构成了一种尤为棘手的矛盾。