Keystone 硬件钱包客户数据泄露事件引发安全担忧

Keystone 确认客户数据泄露事件

加密货币硬件钱包制造商 Keystone 近日披露，其网站存在安全缺陷，导致攻击者获取了客户的物流与订单信息。该异常行为于本周初被系统标记为可疑，并在内部审查后确认属实。公司已立即采取应对措施，包括封锁访问、修补漏洞、展开调查，并向潜在受影响用户发送提醒邮件。

关键要点

Keystone 在核查与 Shopify 的应用程序接口活动时发现，第三方曾未授权访问客户订单履行数据。此次泄露内容涵盖姓名、联系方式、收货地址以及购买物品等详细信息，可能被用于设计更具欺骗性的钓鱼攻击。

安全研究人员指出，此类信息若被滥用，可能提升针对加密资产持有者的现实世界威胁等级，例如通过精准定位实施“扳手攻击”——即以暴力或恐吓手段迫使受害者交出私钥。

事件经过

Keystone 表示，公司在本周初识别到异常登录行为，并于周五完成技术溯源，确认存在外部实体非法调用其订单系统数据。经分析，攻击路径源于与电商平台的 API 接口配置问题。

目前，相关访问已被阻断，漏洞已完成修复，公司已启动独立调查流程，并通过官方渠道向可能受影响的用户发出警示。尽管未公布具体影响人数，但所涉数据敏感度较高，提示潜在风险不容忽视。

暴露数据对现实世界安全的意义

Keystone 明确表示，泄露的信息可能被用于定制化网络钓鱼尝试。更严重的是，安全分析师 Taylor Monahan 提醒，精确的收货地址可帮助犯罪分子锁定目标，增加线下骚扰或暴力胁迫的可能性。

据区块链安全机构 CertiK 统计，2026 年上半年全球确认的“扳手攻击”案件达 52 起，相较 2025 年同期增长约 33%。这类攻击往往依赖真实身份与位置信息，而本次泄露恰好提供了关键线索。

关于旧客户信息保留的疑问

Keystone 曾在 2023 年声明，为降低风险，将客户数据保存期限缩短至 180 天。然而，多名用户在社交媒体平台 X 上反映，即便在两年前完成购买，仍收到了泄露通知。

一位名为 “OG DEGEN” 的用户称，曾接到自称执法部门的电话，对方准确提及他两年前的订单细节，疑似利用泄露信息进行社会工程攻击。另一位用户 trintaetres 也表示，自己并未在近期下单，却依然收到提醒邮件。

上述情况引发外界广泛质疑：是否实际保留了超过 180 天的数据？还是存在其他未公开的数据存储机制？媒体已就此联系 Keystone，要求说明数据保留范围及受影响客户数量，截至发稿尚未获得回应。

后续关注重点

对用户而言，应提高警惕，对任何提及过往交易、设备型号或订单详情的来电或邮件保持怀疑，除非来自已验证的官方渠道。建议启用双重身份验证，并定期检查账户状态。

对 Keystone 来说，下一步需主动澄清数据管理政策，明确此次事件是否波及历史订单记录，并尽快发布完整的影响评估报告。同时，公众应持续关注其发布的安全更新与反诈指南，防范新型钓鱼手段的渗透。