Keystone确认客户数据泄露：购买记录与地址信息外泄

硬件钱包品牌Keystone近日证实发生一起客户数据泄露事件，未经授权的第三方访问其网站，致使用户的姓名、联系方式、配送地址以及购买历史等敏感信息被暴露。

事件发现与调查过程

该公司于2026年10月20日监测到异常网络活动，随后在审查Shopify API调用日志后，于10月23日正式确认数据已被盗取。泄露内容包含具体产品名称与交易金额，使攻击者可精准识别特定用户及其物理位置。

数据泄露范围与防护措施

Keystone于10月24日对外披露该事件，并明确指出支付卡信息、银行账户详情、助记词、私钥及钱包密码均未受到影响。目前系统已阻断非法访问，漏洞已完成修补，并启动邮件通知机制向潜在受影响用户发送提醒。

尽管如此，此次事件涉及的具体客户数量、攻击路径以及是否涉及凭证泄露或接口缺陷，仍处于保密状态。值得注意的是，本次调查仅针对Keystone自身集成的Shopify服务，不意味着Shopify平台整体存在安全隐患。

欺诈风险加剧：假冒替换设备成新威胁

由于泄露信息涵盖真实订单与收货地址，攻击者可能以提供免费更换设备、处理配送问题或退还差价为由，通过电话、短信、电子邮件甚至实体信件进行社交工程诈骗。

Keystone特别强调，任何未经请求的“替换设备”均不应信任，用户切勿在非官方渠道输入助记词，也不得向自称客服人员的人透露私钥。

若已有助记词被泄露，应立即视为钱包已失效，所有资产须转移至使用全新恢复短语创建的新钱包中。

行业连锁反应：多家钱包厂商相继卷入

Keystone并非孤例。今年9月，Trezor因ShipMonk数据泄露事件扩大调查范围，确认约6.7万名美国用户信息外泄，包括长期订单历史和联系资料。

8月，SafePal也曝出因第三方插件授权缺陷导致3.9万多名客户的购买与身份信息被窃取。

早前，Ledger客户亦受牵连，源于其电商合作伙伴Global-e遭遇数据泄露，进而引发针对性钓鱼攻击。

这些案例表明，尽管核心钱包设备本身未被攻破，但依赖外部服务商的电子商务生态已成为安全薄弱环节。

后续进展与技术透明度期待

Keystone表示将持续推进调查，并计划在未来数日内发布详细的技术分析报告。目前尚无证据显示加密资产被盗，客户通知流程也未完全完成。

公众期待更全面的信息披露，以评估潜在风险并加强防御策略。