币圈界报道：

Keystone紧急下调数据存储周期至90天

自本周五起，Keystone正式将用户运输数据的保留期限由原先的180天削减一半，调整为90天。该公司披露，原定的自动清除机制未能如期运行，致使约2.6万条包含姓名、联系方式、收货地址及购买历史的敏感信息长期滞留系统中，构成显著安全隐患。

系统故障致客户信息超期留存，公司主动担责

此次调整源于内部审计发现：用于在180天后自动擦除用户数据的程序存在功能性缺陷，且未触发任何异常预警。经对5.1万条交易记录审查，确认其中2.6万条涉及个人身份信息，部分可追溯至2024年，远超承诺时限。另有逾1.2万条未完成订单也携带敏感内容。公司声明称，‘未能兑现数据清除义务，我们对此承担全部责任’。

多渠道承诺不一，用户获取信息存在差异

Keystone在不同平台发布的数据处理政策呈现三类版本：隐私承诺页面宣称‘下单后180天内自动删除运输信息’；2021年更新的隐私政策则规定‘仅对180天内无订单行为的客户清除订单数据’；而帮助中心文档却指出‘城市与区域记录无法按请求删除，最终由Shopify执行清理’，形成明显矛盾。

对手趁势强化数据管控，设定30天上限

在Keystone事件发酵之际，竞争对手OneKey迅速跟进，宣布将用户数据保留周期严格限制在30天内。该举措于10月27日提出，创始人Yishi Wang强调此举仅为预防性措施。这一做法呼应了此前SafePal因追踪漏洞导致近4万客户数据外泄后，也将保留期缩短至90天的应对策略，反映出行业内普遍存在的数据治理短板。

密钥被盗引发设备全面召回，超1.8万台遭销毁

此次数据问题实为更大规模安全事件的一部分。Keystone于10月20日察觉网站存在非授权访问，次日确认入侵属实。攻击者不仅窃取买家资料，还盗取了出厂时烧录的WebAuth认证密钥——该代码不可更改，是设备真实性验证的核心。基于此，公司决定销毁全部1.88万台配备该密钥的库存设备，并暂停发货，转为预售模式，待新设备替换完毕后恢复销售。官方表示，10月20日前已交付设备均通过身份验证，处于安全状态。私钥、恢复短语及支付信息未受波及。

Keystone已于10月24日向Shopify提交数据删除请求，受制于10天强制等待期，预计逾期记录将于11月3日前彻底清除。