Keystone安全事件升级：认证密钥被盗引发假设备风险

硬件钱包制造商Keystone近日宣布，其网站遭遇网络攻击，事件影响远超最初披露的客户信息泄露，攻击者还窃取了用于验证设备真实性的核心认证密钥，使该事件性质升级为严重安全危机。

认证密钥被盗导致假设备风险

Keystone在声明中指出，被盗的密钥可能被用于伪造通过官方真实性检测的硬件钱包。这些假冒设备一旦流入市场，可能被售予不知情的用户，从而导致其加密资产面临被盗风险。

此次事件与今年多起针对硬件钱包厂商的安全攻击形成叠加效应。7月下旬，Coldcard因设备生成的钱包种子熵值异常，导致数百万美元资产损失；本月早些时候，Ledger也报告在东南亚和香港地区发现植入恶意组件的设备，迫使多地经销商暂停销售。

Keystone将销毁逾1.8万台含旧密钥设备

调查发现，攻击者利用第三方监控工具中的漏洞实现权限提升，进而获取客户数据及认证密钥。

为降低风险，Keystone决定销毁库存中包含已受损密钥的18,835台设备，并全面暂停使用该密钥的设备生产与发货。公司表示，待启用新密钥后将恢复正常出货流程。

Keystone强调，2024年10月20日前生产的设备仍可通过现有验证机制确认真实性。但此后交付的设备无法保证其真伪，建议受影响用户尽快联系官方支持团队进行额外验证。

近2.6万条买家记录遭窃取

数据显示，Keystone的Shopify商店共生成51,083条买家记录，其中25,119条因180天数据保留政策已被清除。但剩余25,964条来自2024至2026年的记录仍处于系统中，被攻击者成功窃取。

公司承认，部分数据未能按时删除，是由于用于批量清理的自动化工具运行不稳定，部分任务失败且未被及时发现，导致敏感信息超出保留期限。

此外，攻击者还获取了12,873条未完成交易的结账信息。目前，Keystone已与Shopify协调，要求删除超过30天保存的客户个人信息。

此事件令人联想到2020年Ledger大规模数据泄露，当时超百万条用户信息外泄，引发持续数年的钓鱼攻击潮。今年类似事件频发：Trezor物流合作方数据泄露，影响超8万人；SafePal订单追踪漏洞致近4万用户资料外流；BitBox则因第三方邮箱服务遭网络钓鱼攻击而暴露用户数据。