当前位置：首页 > 资讯 > Keystone硬件钱包网站被黑

硬件钱包厂Keystone资安承诺翻车:客户订单数据外泄,助记词未受影响

2026-10-26 10:19:13 | 来源： | 作者：佚名
硬件钱包厂Keystone 周六宣布Shopify 官方网站遭攻击，客户姓名、联络方式、收件地址与订单明细外泄,问题是，Keystone 过去半年反复以「180 天后永久删除出货资料」作为隐私卖点，现在有客户证实两年前下的订单个资依然被泄漏，承诺与现实之间的落差正在扩大

硬件钱包厂Keystone 周六宣布Shopify 官方网站遭攻击，客户姓名、联络方式、收件地址与订单明细外泄。问题是，Keystone 过去半年反复以「180 天后永久删除出货资料」作为隐私卖点，现在有客户证实两年前下的订单个资依然被泄漏，承诺与现实之间的落差正在扩大。

Keystone硬件钱包网站被黑

硬件钱包厂Keystone 周六下午在官方X 帐号承认，黑客于10 月20 日入侵其Shopify 驱动的官方商店，窃取了客户姓名、联络资讯、收件地址，以及购买品项与价格等订单细节。 Keystone 强调，付款卡号、银行资讯，以及复原短语、私钥与钱包密码等加密敏感资料均未遭外泄，并表示已封锁入侵路径、修补漏洞、启动调查，并正逐封寄信通知受影响客户。受影响人数与骇客身份，官方皆未披露，仅承诺数日内发布详细报告。

真正让这起事件从「例行性个资外泄」升级为「品牌承诺翻车」的，是Keystone 过去几个月的行销话术。今年1 月5 日，也就是Ledger 客户接到支付处理商Global-e 资料外泄通知的同一天，Keystone 在X 上写下：「180 天后，你的出货资料将被永久删除。」3 月再次强调「其他硬件钱包把你的资料留到永远，我们最多180 天就删」，8 月的多篇贴文延续相同论调。公司的Privacy Promise 页面也以「所有出货资讯于下单180 天后自动删除」作为内核卖点。

此次泄露事件整理

根据Keystone于10月24日发布的揭露说明，该公司10月20日侦测到未经授权的访问，三天后确认外部人士取得了客户资讯。外泄纪录包括姓名、电子邮件地址、电话号码、收件地址，以及个别购买纪录中的产品与价格。

Keystone表示，支付卡号、银行帐户资讯、钱包密码、私钥与助记词都不在这次外泄范围内。该公司已阻挡入侵、修补遭利用的漏洞并展开调查，同时以电子邮件通知受影响客户。 Keystone未披露受影响客户人数、入侵者身分、攻击者如何进入系统，以及其访问权限持续多久。该公司预计发布更完整的事件报告，但尚未公布日期。

根据Keystone的隐私政策，其线上商店架设于Shopify平台，订单资料由Shopify处理。该政策指出，对于未再下新订单的客户，相关纪录会在180天后删除；不过本次揭露并未说明哪些过往购买纪录落在外泄期间内。

项目状态
客户姓名、电子邮件、电话号码外泄
收件地址外泄
购买产品与支付价格外泄
支付卡与银行帐户资讯未外泄
钱包密码未外泄
私钥未外泄
助记词未外泄

注：依据Keystone于10月24日的揭露说明。该公司未具体说明受影响客户人数，也未说明未经授权访问的持续时间。

Keystone硬件在离线状态下签署交易，并通过QR码进行通讯，这项设计旨在让金钥资料远离任何连网服务器。正因如此，网络商店遭骇原则上不会触及装置内部的加密秘密。该公司并未公布网站与装置环境如何隔离的技术细节。

对受影响客户而言，最立即的风险是歹徒利用外泄纪录进行诈 骗。 Keystone警告，诈 骗者可能冒充该公司，通过电子邮件、电话、简讯或实体邮件，以退款、更换设备或订单协助为由接触客户。该公司呼吁客户不要透露助记词或私钥、不要将助记词输入来路不明的更换装置，并应通过官方渠道核实任何联络。

对比特币持有者来说，网站资料库遭骇后的风险轮廓，与交易所被骇或托管机构失灵不同。若硬件钱包的助记词是在离线状态下产生、且从未输入网络表单，即使制造商官网遭骇，钱包内的币也不会因此曝光。真正的危险在于，姓名、地址与购买纪录可能被用来锁定持有高价值资产的用户，进而发动社交工程或实体跟踪。

这起事件符合硬件钱包产业「商业层遭攻击、装置本身未受波及」的一贯模式。今年8月，Trezor揭露物流供应商ShipMonk遭骇，随后又确认美国约有6.7万名额外客户受影响。 SafePal通报其订单追踪系统存在授权漏洞，影响3万9,798名客户，个人与购买纪录外泄，但钱包凭证未受损。 Ledger则持续调查通过东南亚经销商购买装置的用户资金遗失事件，并基于预防考量要求该经销商暂停销售与出货。

更激烈的入侵则发生在协议层基础设施。 SecondFi在Cardano钱包遭骇、损失240万美元（约7,800万新台币）后关闭；另有一名骇客在Initia区块链停止运作前，铸造了约270万美元（约8,800万新台币）的加密资产。

Keystone事件留下若干攸关客户如何评估自身风险的疑问：哪些类别的资料被取走、攻击者的访问期间、入侵如何被发现，以及已发出哪些通知。许多司法管辖区的资料保护法规都订有外泄通知期限，该公司尚未公开确认是否已履行这些义务。

助记词与私钥未受影响的保证，排除了最严重的后果，也就是资金直接损失，但并不代表外泄的个人资料不会造成危害。在完整说明公布之前，客户应将任何与其Keystone帐户相关的信息视为可能的钓鱼尝试，并审慎检视声称来自该公司的主动联络。

Keystone硬件钱包网站被黑

180 天承诺vs. 两年前订单

然而，多名客户在X 上指出，他们的订单远早于180 天前。用户@trintaetres_33 周六发文表示，自己两年前购买的装置同样收到了外泄通知；@BlockchainBarmy 则计算出最后一笔订单与此次外泄之间相隔214 天。更值得注意的是，@PEPE_Whale69 甚至在Keystone 官方确认之前就先发出了警报：该用户周五晚上表示，接到一个冒用蒙特娄警察电话的来电者，对方试图以「Amazon、eBay 或Keystone 听起来熟不熟悉」等方式进行社工攻击，并能完美说出他2024 年下的Keystone 订单细节，远早于所谓的180 天删除期限。 Keystone 的X 帐号在周六凌晨1:08 回复该贴文，表示「已对此事启动紧急调查」，公司最终在10 月23 日正式确认外泄。

值得注意的是，Keystone 的隐私政策（最后更新于2021 年5 月）措辞与行销口径并不完全一致，写的是「删除过去180 天内未再下单的客户之所有订单资讯」；其客服中心的删除条款更明确注明「城市与国家记录不会被删除」，且「最终删除流程由Shopify 执行」。行销文案与法律档案之间的落差，为「180 天承诺」留下了不少解读空间，也难怪客户在拿到通知后反应激烈。

Keystone硬件钱包网站被黑

硬件钱包个资外泄的连环剧

Keystone 不是今年唯一爆雷的硬件钱包厂。 8 月，Trezor 披露其物流合作商ShipMonk 遭骇，首波外泄约1.4 万客户的个人资料，后续扩大至美国约6.7 万客户，且ShipMonk 被指在书面承诺已删除资料的情况下实际未删。 Trezor 事件披露几天后，SafePal 又宣布其订单追踪系统漏洞泄露近4 万客户的个人资讯。更早一些，Ledger 客户在年初因支付处理商Global-e 的漏洞收到外泄通知；本月上旬Ledger 进一步确认，经经销商CryptoBilis 售出的部分装置内含硬件植入组件，可在初始化时截获复原短语，链上研究者估计相关损失超过8,600 万美元。

后续观察：承诺与执行的落差才是真正风险

把这几起事件放在一起看，硬件钱包产业的风险面正在从「钱包本身」转向「供应链与资料治理」。钱包装置端的私钥安全固然重要，但客户个资在电商供应链（Shopify、ShipMonk、Global-e 之类第三方）的留存与删除，才是真正难以掌控的环节。

Keystone 的特殊之处在于，它把「180 天删除」从隐私政策升级成了行销卖点，一旦承诺与实际执行不符，受损的不只是资料安全，而是品牌定位本身。后续值得观察三点：其一，Keystone 的详细报告是否会披露受影响人数与资料留存实际机制；其二，Shopify 作为多家钱包厂的电商底座，其资料留存政策是否值得业界重新审视；其三，客户个资外泄之后的社工攻击（如本文提到的蒙特娄警察冒用电话）往往比外泄本身更具破坏力，钱包厂在通知客户时是否附上具体防诈指引，将成为区分责任感的关键指标。

到此这篇关于硬件钱包厂Keystone资安承诺翻车:客户订单数据外泄,助记词未受影响的文章就介绍到这了,更多相关Keystone硬件钱包网站被黑内容请搜索脚本之家以前的文章或继续浏览下面的相关文章，希望大家以后多多支持脚本之家！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：硬件钱包   keystone  

你可能感兴趣的文章

币圈快讯

  • MetaMask将Stellar设为移动端与扩展程序默认网络

    2026-10-30 00:19
    10月30日，MetaMask已将Stellar设为移动端应用与浏览器扩展程序的默认网络。现有支持多链的账户将获得由助记词派生的Stellar地址，并支持XLM、USDC与Soroban代币。

  • UNI突破7.5美元

    2026-10-30 00:10
    行情显示，UNI突破7.5美元，现报7.51美元，24小时涨幅达到6.22%，行情波动较大，请做好风险控制。

  • HYPE突破95美元

    2026-10-30 00:09
    行情显示，HYPE突破95美元，现报95.05美元，24小时涨幅达到18.99%，行情波动较大，请做好风险控制。

  • 文件显示Alphabet的AI风险敞口远超1万亿美元

    2026-10-29 23:59
    10月29日，Alphabet表示，其云服务需求正迅速增长，这从其“积压订单”（即尚未履行的云服务合同）的增加中可见一斑。然而，这种季度增长中，有超过三分之一来自该公司参股的一家合资企业。这一信息披露于周四提交的一份季度文件中。该文件概述了Alphabet所面临的AI相关风险，其范围超出了公司在前一天财报电话会议上所讨论的内容。除首席财务官在投资者电话会议上披露的超过1万亿美元采购承诺、未来租赁付款及其他义务外，文件还列出了约985亿美元的或有承诺，即在某些条件下，公司可能需要承担的义务。这一金额较上一季度增加约230亿美元。这些承诺包括：为数据中心租赁付款提供担保、支持合作伙伴采购电力设备，以及在特定情况下可能需要从客户手中回购AI芯片系统。

  • 消息称欧洲央行官员预计12月加息随后暂停加息

    2026-10-29 23:59
    10月29日，据路透社报道，三位在会议结束后受访的决策者表示，欧洲央行决策者预计将在12月加息，以应对能源价格推动的高通胀，随后暂停加息，因为债券收益率上升预计将拖累经济增长并抑制通胀。欧洲央行周四如市场普遍预期般维持利率不变，行长拉加德暗示12月将再次加息，并警告称，高企且不断上涨的能源成本正在加剧通胀风险。他们说，除非能源价格突然大幅下跌，否则欧洲央行几乎肯定会在12月17日加息，将存款利率上调至2.75%。不过，他们预计此后将暂停加息。周四会议召开前流传的一份欧洲央行估算显示，与9月的基准预测相比，近期债券收益率上升预计将在2027年至2028年期间累计拉低经济增长100个基点，并使通胀率降低90个基点。
    • 查看更多

最新资讯

更多

区块链百科