Keystone 硬件钱包密钥泄露事件：18,835 台设备将被销毁

Keystone 在周一发布声明，确认其网站遭遇网络安全攻击，导致用于验证硬件钱包真实性的加密密钥被窃取。该事件引发对假冒设备流入市场的担忧，公司决定立即销毁库存中受影响的18,835台设备。

密钥泄露风险：假冒设备可能误导用户

据该公司披露，被盗密钥可被用于制造能通过官方身份验证流程的仿冒硬件钱包。尽管这些设备无法直接访问用户的助记词或私钥，但若用户误将其当作正品使用，仍可能导致资产暴露于潜在风险之中。

Keystone 强调，该密钥仅用于设备出厂前的身份认证，并不参与助记词生成、私钥派生或交易签名过程，因此不会直接影响账户安全性。然而，一旦伪造设备进入流通环节，将严重破坏用户对品牌的信任。

事件经过：第三方工具漏洞成突破口

Keystone 表示，其监控系统于10月20日发现异常访问行为，经调查确认攻击者利用了其使用的第三方数据监控工具中的一个未修复漏洞，进而获取了更高权限。

此次泄露共影响25,964条买家记录，涵盖姓名、联系方式、收货地址及订单详情，数据来源为2024年至2026年间通过Shopify平台完成的购买。此外，还有12,873条未完成结账记录包含相同敏感信息。

公司承认，由于自动批量删除机制存在缺陷，未能按政策在180天后及时清除数据，对此承担管理责任。

用户应对建议：识别真伪与防范钓鱼

Keystone 指出，身份验证密钥在制造阶段写入设备，无法后期修改或重置。因此，即便设备通过了验证，也无法完全排除其为伪造的可能性。

对于10月20日前交付且已通过验证的设备，仍可视为正品；而在此日期之后收到的新设备，若带有旧密钥，建议用户联系官方支持进行额外检测。

所有新生产的钱包将启用全新密钥体系。公司明确表示，不会主动要求用户退回设备，任何以“召回”名义索取设备的行为均为诈骗，应视为典型的网络钓鱼手段。

近期其他钱包安全事件警示行业风险

本月内，类似事件频发。Ledger 报告称，有犯罪团伙在东南亚经销商渠道中植入恶意固件至硬件钱包；Polkadot 则披露，Fearless Wallet 浏览器扩展自2025年2月以来持续存在私钥泄露问题。

这些案例凸显出硬件钱包供应链安全与软件生态防护的重要性，提醒用户在选择数字资产存储方案时需综合评估厂商信誉与技术透明度。