币圈界报道：

Keystone遭遇严重安全入侵：关键认证密钥遭窃取

攻击者通过利用Keystone官网第三方监控系统中的未修补漏洞，获取了超出权限的系统访问权。这一突破不仅使部分用户个人信息暴露，更导致用于验证硬件钱包真实性的核心密钥被非法获取。

设备真实性验证机制面临失效风险

被盗密钥可能被用于制造可绕过官方验证流程的仿冒设备。这些伪造品在外观上与正品无异，一旦流入市场，将使用户在不知情状态下使用存在安全隐患的硬件钱包，从而面临资产被盗的高风险。

为防止进一步扩散，Keystone已全面叫停所有基于该密钥生产的设备出货，并启动对库存中18,835台受影响设备的销毁程序。新密钥启用前，相关生产与配送活动将持续冻结。

客户信息留存异常致大规模数据外泄

Keystone披露，其Shopify平台共生成51,083条买家交易记录。依据常规180天保留策略，其中25,119条已自动清除。然而，剩余25,964条跨越2024至2026年的历史记录因自动清理工具故障而长期滞留，存在被攻击者窃取的可能性。

公司承认，该数据擦除系统运行不稳定，部分删除任务失败且未能及时发现，造成敏感信息超出合规存储期限。

此外，攻击者还可能接触到了12,873条未完成结账流程的交易记录。目前，Keystone已要求Shopify移除超过三十天未处理记录中的个人身份信息。

行业安全危机频发：硬件钱包成重点攻击目标

此次事件是本年度针对加密硬件设备制造商的系列攻击之一。早前，Ledger曾因东南亚及香港地区出现植入式恶意芯片的设备而紧急叫停销售。

7月下旬，Coldcard制造商Coinkite警告用户，其设备因随机数生成缺陷导致钱包种子可被预测，引发数百万美元资产损失。

8月，Trezor披露物流合作方遭入侵，影响用户数量于9月攀升至逾8万人。

SafePal在同月报告订单追踪系统漏洞，致近4万名客户信息外泄；BitBox则在9月遭遇与受损邮件服务商相关的网络钓鱼攻击。

Keystone此次事件与2020年Ledger大规模数据泄露有相似之处——当时超百万用户的邮箱、姓名、电话及住址信息被曝光，持续引发长期钓鱼攻击浪潮。

公司强调，2024年10月20日前交付的设备仍可通过原有验证机制确认安全性，但之后生产的设备无法保证未受污染。受影响用户须主动联系客服进行额外身份核验以确保资产安全。