Keystone 硬件钱包安全漏洞致密钥泄露，数万台设备或存风险

Keystone 官方披露，其网站因第三方监控工具存在安全缺陷，被攻击者利用以获取更高权限，进而窃取了用于验证硬件钱包真实性的关键认证密钥。

该密钥一旦落入恶意方手中，可能被用于制造可绕过官方验证的伪造设备，这些仿冒产品若流入市场，将使用户在无意识中使用非正品，面临资产被盗风险。

客户数据暴露范围

Keystone 商店共生成 51,083 条买家记录，按 180 天保留规则本应自动清除部分数据，但因自动清理工具故障，约 25,964 条记录（覆盖 2024 至 2026 年）仍处于留存状态，存在被窃取的可能性。

此外，攻击者还可能访问了由 Shopify 保存的 12,873 条未完成交易的结账信息。公司已要求平台删除超过 30 天保留期的敏感数据。

紧急应对措施与用户提醒

为防止风险扩散，Keystone 已全面暂停使用该受损密钥的所有设备发货，并计划销毁库存中 18,835 台受影响的设备。

公司表示，2024 年 10 月 20 日前交付的设备仍可通过现有验证机制确认安全性，但之后生产的设备无法保证真实性。受影响用户需主动联系官方支持团队，进行额外身份与设备验证。

行业安全形势持续承压

此次事件是今年针对硬件钱包制造商的多起安全冲击之一。此前，Ledger 在东南亚和香港地区发现未经授权的植入物，迫使经销商下架部分产品。

7 月下旬，Coldcard 制造商 Coinkite 发现设备种子生成随机性异常，导致大量资金损失；8 月，Trezor 的物流合作方遭入侵，影响用户超 8 万人。

SafePal 也于 8 月曝出订单追踪系统漏洞，近 4 万名用户数据外泄；而 BitBox 在 9 月遭遇网络钓鱼攻击，源头为一个被攻陷的第三方邮件服务。

Keystone 的本次事件与 2020 年 Ledger 数据泄露案相似，当时超百万用户邮箱、姓名、地址等信息被公开，引发长期钓鱼攻击潮。

目前，行业正面临从供应链到软件验证的全方位安全挑战，企业亟需强化系统审计与自动化运维监控能力。