Keystone 硬件钱包安全事件：18,835 台设备将被销毁

Keystone 在近期安全事件中宣布，其用于验证硬件钱包真实性的密钥遭到黑客获取，可能引发假冒设备流入市场。

该公司决定销毁库存中携带旧密钥的 18,835 台设备，以防止潜在的安全风险。此举旨在杜绝攻击者利用被盗密钥制造可绕过身份验证的伪造产品。

事件背景与技术漏洞

Keystone 表示，其监控系统于 10 月 20 日发现异常访问行为，确认攻击者利用了第三方数据监控工具中的安全漏洞，实现权限提升。

该漏洞导致约 25,964 条买家记录外泄，涵盖姓名、联系方式、收货地址及订单信息，数据时间跨度为 2024 年至 2026 年间通过 Shopify 商店完成的交易。

由于自动删除机制存在缺陷，部分数据未能在规定 180 天后及时清除，公司对此表示责任，并补充说明另有 12,873 条未完成结账信息也受到影响。

用户资产安全声明

Keystone 强调，本次事件未波及助记词、私钥、银行支付信息或政府证件号码，用户无需因该事件立即转移资产。

身份验证密钥在制造过程中写入设备，无法擦除或更新。因此，即使设备通过了官方验证，若在 10 月 20 日之后交付，仍存在被仿冒的可能。

公司建议在此日期后收到设备的用户联系客服进行额外核实，并强调不会主动要求用户寄回设备。任何以“召回”为由索取设备的行为均属网络钓鱼，应予以警惕。

后续应对与行业警示

Keystone 已全面暂停通过官网发货尚未完成的订单，并将销售模式调整为预售制，以加强出货管控。

新生产的硬件钱包将采用全新密钥体系，确保未来设备的真实性验证不受此前漏洞影响。

值得注意的是，本月还发生多起钱包安全事件：Ledger 报告称东南亚经销商渠道存在恶意植入物；Polkadot 指出 Fearless Wallet 扩展程序自 2025 年 2 月起持续泄露私钥，反映出整个硬件与软件钱包生态面临日益严峻的供应链与代码安全挑战。