Keystone官网数据泄露：客户信息外泄但私钥安全

Keystone 硬件钱包制造商于2026年10月20日发现其官方网站存在异常访问行为，经审查后确认客户数据面临泄露风险。此次事件涉及客户姓名、电子邮件、电话号码、配送地址以及所购产品和价格等信息。

事件背景与初步响应

Keystone 在10月23日通过分析Shopify应用程序编程接口（API）活动识别出异常操作，并于次日发布声明，指出一名第三方获取了订单相关数据。公司随即切断非法访问权限，修复已知漏洞，并展开内部调查。

尽管事件影响范围尚未公开，但官方强调，客户的银行卡号、银行账户详情、钱包密码、私钥及助记词均未被窃取。这得益于其硬件钱包采用的离线交易签名机制，配合二维码通信方式，有效隔离了设备与联网终端之间的直接连接。

数据泄露范围与调查进展

此次泄露内容集中于电商平台的订单履约系统，而非钱包内部资产存储。这意味着用户的购买行为与其身份信息被关联，但核心资产安全性未受威胁。

根据平台隐私政策，若客户在180天内无新订单，历史数据将自动清除。然而，本次披露未说明具体哪些历史记录受到影响，也未提供非法访问持续时间或攻击路径。

目前，调查团队尚未公布入侵来源或技术手段。受影响客户已陆续收到通知邮件，公司承诺后续将发布完整事件报告，但未设定发布时间。

安全警示与防范建议

尽管私钥安全得以保障，Keystone 仍强烈提醒用户提高警惕。近期可能出现假冒退款请求、设备更换骗局或伪装成客服的虚假消息，多通过电子邮件、短信或电话传播。

公司建议用户切勿向任何非官方渠道透露助记词或私钥，避免在未知设备上输入敏感信息，不点击可疑链接。所有沟通应优先通过官网或认证渠道进行核实。

行业对比与同类案例

此类事件并非首次发生。今年8月，Trezor披露其物流合作伙伴ShipMonk遭受攻击，约6.7万名美国用户信息外泄；同年，SafePal也因订单跟踪授权缺陷暴露3.9万多名客户的个人与购买记录。

这些案例共同表明，加密货币硬件设备的销售与交付环节成为攻击者关注焦点。虽然钱包凭证未受损，但个人信息的泄露可能为精准钓鱼攻击提供依据。