币圈界报道：

Keystone紧急调整数据存储周期，暴露大规模信息外泄风险

自本周五起，Keystone将其运输相关数据的保留周期由原先的180天大幅缩减至90天。公司承认，原定的自动清除机制未能正常运作，致使25,964条包含姓名、联系方式、收货地址及购买历史等敏感信息的记录长期处于可被访问状态。该问题在对总计51,083条买家数据进行审查时被发现，部分数据最早可追溯至2024年。

系统清除功能失效，责任归属明确声明

此次调整已即时生效，并通过官方社交媒体渠道发布通告。对于希望彻底删除个人数据的用户，公司建议在订单确认后立即联系客服处理。调查结果显示，用于在180天后自动擦除用户信息的系统功能存在缺陷，且未触发任何异常警报。此外，另有12,873条未完成结账流程的数据也被识别为携带敏感内容。

公司在公开声明中指出：“我们未能兑现按时清除客户数据的承诺，对此失误承担全部责任。”

多平台披露规则不一，误导用户成隐患

Keystone在不同页面上呈现了三种互不一致的数据处理说明，造成用户认知混乱：

隐私承诺页称“所有运输信息将在下单后180天内自动删除”；

2021年更新的隐私政策则表示“仅对过去180天内无订单行为的客户删除订单信息”；

而帮助中心页面却声称“城市与地区记录无法按请求删除，最终清理由Shopify执行”。

对手迅速跟进，30天限存成新基准

在Keystone事件发酵之际，其主要竞争者OneKey宣布将用户数据自动保留上限设定为30天。该措施于10月27日提出，创始人Yishi Wang强调此举仅为预防性安排。

这一决策反映行业共识：数据留存时间越长，遭受泄露的风险越高。此前SafePal也因类似订单追踪漏洞导致约4万名用户信息暴露，随后将保留期缩短至90天。两起事件表明，数据管理短板并非孤立现象。

密钥被盗致超1.8万台设备作废

此次数据问题属于更大范围的安全事故的一部分。Keystone于10月20日察觉网站遭未授权访问，并于10月23日正式确认。攻击者不仅窃取了大量买家资料，还盗取了用于设备身份验证的WebAuth密钥——一种出厂烧录、不可重写的核心代码。

基于此，公司决定销毁全部18,835台配备该密钥的未售出设备，并暂停发货，转为预售模式直至替换完成。公司强调，只要通过身份核验，10月20日前交付的设备均属安全。恢复短语、私钥及支付信息未受波及。

Keystone已于10月24日向Shopify提交数据删除请求。由于平台设有10天强制等待期，预计逾期记录将在11月3日前完成彻底清除。