币圈界报道：

Keystone紧急调整数据存储周期，暴露重大隐私漏洞

自本周五起，Keystone将其运输相关数据的保留周期由原定的180天大幅缩减至90天。此举源于公司内部自查发现，此前用于自动清除用户信息的功能长期失效，致使超过2.5万条包含姓名、联系方式、收货地址及购买历史的敏感记录未能按期删除，存在潜在泄露风险。

系统故障致数据清除机制失灵，公司主动担责

此次调整已即时生效，并通过官方社交平台对外通报。针对希望彻底抹除个人资料的用户，公司建议在订单完成后立即联系客服团队处理。

据Cryptopolitan披露，在对总计51,083条买家记录进行审查时，确认有25,964条记录涉及关键个人信息，部分可追溯至2024年，远超承诺的180天自动删除时限。另有12,873条未完成结账信息亦携带敏感内容。公司声明称：“我们未能兑现按时擦除客户数据的义务，对此失败负全责。”

多渠道政策矛盾：用户获取的信息不一致

Keystone所宣称的数据处理规则在不同页面呈现三种互异版本，导致用户认知混乱：

隐私承诺页标注：“所有运输信息将在下单后180天内自动删除。”

2021年5月更新的隐私政策指出：“仅对过去180天无订单的客户，清除其全部订单数据。”

帮助中心则说明：“客户所在城市与地区信息无法按请求删除，最终清理由Shopify执行。”

对手趁势而上，设置30天极限保留期

事件发酵后，竞争对手OneKey迅速响应。创始人Yishi Wang于10月27日宣布，将用户数据的自动保留上限设定为30天，作为一项预防性措施。

该决策逻辑清晰：数据停留时间越长，被窃取或泄露的可能性越高。此前SafePal因约4万名用户的订单追踪信息外泄，也已将保留期缩短至90天。两起案例表明，数据管理薄弱并非个别现象，而是行业共性挑战。

密钥被盗触发大规模设备报废行动

此次数据问题实为更大规模网络安全事故的一部分。Keystone于10月20日首次察觉网站遭未授权访问，10月23日确认入侵属实。攻击者不仅窃取了买家数据，还盗取了用于设备身份验证的WebAuth密钥——该代码在出厂时烧录，不可重写。

基于此，公司决定销毁全部18,835台配备该密钥的未售出设备，并暂停正常发货，转为预售模式，直至新设备替换完成。公司强调，只要经过身份核验，10月20日前已交付的设备仍属安全。恢复短语、私钥及支付信息未受影响。

Keystone已于10月24日向Shopify提交删除请求。受制于强制性的10天等待周期，预计逾期数据将于11月3日前完成彻底清除。