币圈界报道：

Keystone官方证实客户信息外泄事件，强调核心资产未受损

Keystone已正式确认，其官方网站遭遇非授权访问，导致部分用户的配送及购买记录被非法获取。该事件可能为网络诈骗分子提供伪造官方沟通的可信依据，但公司明确指出，用户的私钥、助记词以及银行卡或银行账户等敏感信息未受波及。

安全事件时间线与数据暴露范围界定

Keystone于10月20日发现其网站存在异常访问行为，经与电商平台Shopify核对API活动后，于10月23日正式确认第三方已获取客户收货信息。公司就此向用户致歉：

“我们未能妥善保护您交付给我们的个人信息，对此深表遗憾。”

此次泄露的数据包括：

姓名、联系方式、收货地址、订单详情（含商品名称与价格）

未受影响的信息涵盖：

银行卡或银行账户信息、助记词（Recovery Phrases）、私钥（Private Keys）、钱包密码

目前，相关非法入口已被封堵，安全漏洞已完成修复，内部调查同步展开，并已启动对受影响用户的邮件通知流程。然而，具体涉及的客户数量、订单时间区间及攻击者持续访问时长等关键信息，尚未对外披露。

主要风险：基于真实信息的定向网络钓鱼

对于硬件钱包持有者而言，当前面临的直接威胁并非资金被盗，而是遭受以真实交易细节为支撑的精准诈骗。攻击者可利用已掌握的订单信息，构建高度仿真的客服联络场景，显著提升欺诈行为的可信度。

典型诈骗模式如下：

攻击者可能通过电话、短信、电子邮件或邮寄信函伪装成Keystone官方人员，声称提供退款服务、设备更换或修正订单/地址错误。此类信息常嵌入真实的购买细节（如钱包型号、价格、收货地址），用以制造信任假象。

核心识别要点：

判断信息真伪的关键在于所要求的操作，而非其是否包含准确信息。

任何要求输入助记词或私钥的行为均为骗局。Keystone绝不会索取此类信息。切勿在未订购的设备上输入助记词。避免点击来源不明消息中的链接。务必手动输入官网地址访问。即使发件人显示名称看似可信，其邮箱名称也可被伪造，短信身份不可靠，且网页界面可被模仿。

用户应采取的六项防护措施

根据当前情况，建议用户执行以下步骤：

1. 检查接收通知状态

回顾原始购买渠道接收到的消息。若未收到通知，不代表未受影响，因受影响订单的时间范围尚未完整公布。

2. 独立验证所有通信来源

直接在浏览器中输入Keystone官方网址进入官网，从支持页面获取权威帮助。切勿点击来自未知邮件、短信或搜索广告的链接。

3. 警惕携带真实订单信息的可疑消息

即便消息中提及正确的产品名、送货地址或购买金额，仍可能是伪造。请勿将此类细节视为官方身份的证明。

4. 严格核实未经请求的设备替换请求

使用公司官网提供的官方认证工具进行验证，遵循公布的流程操作。切勿因随附文件外观逼真而初始化未主动申请的设备。

5. 若助记词已泄露的紧急应对

若已在非官方平台输入助记词，或向自称技术支持者透露过助记词，请立即视其为已泄露。应通过可信设备将资金转移至新生成的钱包，严禁复用已暴露的助记词。

6. 助记词未泄露情况下的应对策略

若未泄露助记词且无设备被篡改迹象，仅因物流信息外泄无需转移资金。但若曾在其他平台使用相同密码，建议尽快修改。

尚未解答的关键疑问与未来展望

尽管Keystone宣布漏洞已修复，但仍有三项核心问题未获回应：具体哪些订单受到影响？入侵手段为何？攻击者是否留存数据副本？

上述答案将直接影响用户对自身风险的精准评估及后续行动。现阶段最有效的防范方式是独立验证所有含真实购买信息的意外通信。虽然客户数据泄露可作为诈骗的有力起点，但这并不赋予攻击者控制硬件钱包的能力。

Keystone即将发布的详细技术报告将有助于厘清事件全貌，并验证补救措施是否根除根本原因。在此期间，请仅依赖官方渠道发布的信息。如有疑虑，可通过官方支持邮箱进行咨询。