Keystone数据泄露升级：认证密钥被盗引发行骗风险

Keystone安全事件升级：认证密钥被盗引发系统性风险

硬件钱包制造商Keystone证实，其上周遭遇的网络攻击已超出单纯客户数据泄露范畴，攻击者还成功获取了用于验证设备真实性的关键认证密钥，使事件性质演变为严重安全危机。

该公司在声明中指出，该密钥一旦落入恶意方手中，可能被用于制造能够通过官方真实性检测的仿冒设备。这些伪造产品若被售出并交付给用户，将导致持有者在不知情的情况下使用虚假钱包，进而面临资产被盗的重大风险。

攻击路径曝光：第三方监控工具漏洞成突破口

Keystone透露，攻击者利用其网站所依赖的第三方监控系统中的一个权限提升漏洞，突破安全边界，获取了部分客户数据及核心认证密钥。

为应对这一威胁，公司宣布将全面销毁库存中包含已被攻破密钥的18,835台设备，并暂停所有使用该密钥版本的生产设备与发货流程。待新密钥部署完成并经验证后，生产将逐步恢复。

受影响范围明确：2.6万条客户记录外泄

Keystone披露，其Shopify电商平台共生成51,083条买家记录。其中，25,119条因符合180天数据保留政策已被自动删除。但剩余25,964条来自2024年至2026年的记录仍保留在系统中，被攻击者窃取。

公司解释称，原计划通过自动化工具批量清除旧数据，但由于该工具运行不稳定，部分任务失败且未能及时发现，造成敏感信息超期留存。

此外，攻击者还获取了12,873条未完成交易的结账信息。目前，Keystone已联系Shopify，要求立即清除超过30天未处理订单中涉及的个人数据。

此次事件令人联想到2020年Ledger大规模数据泄露事件，当时超百万用户的邮箱、姓名、电话和地址信息被公开，后续多年持续引发钓鱼攻击。

今年，硬件钱包行业接连遭遇多重安全挑战：7月Coldcard因种子熵值缺陷导致数百万美元被盗；8月Trezor物流合作伙伴数据泄露影响逾8万人；SafePal订单追踪漏洞致近4万客户资料外泄；BitBox则因第三方邮件服务商遭网络钓鱼攻击而波及用户信息安全。