币圈界报道：

Keystone披露客户数据泄露事件，涉收货信息与订单记录

Keystone于10月24日公开承认其官方网站遭遇非授权访问，此前四天内系统已检测到异常登录活动。该公司确认，外部实体获取了用户的姓名、联系方式、配送地址及购买历史。在对Shopify API调用行为进行审查后，漏洞于10月23日被确认，但支付卡号、银行账户、助记词、私钥和登录凭据均未受波及。

核心安全机制未受损，钱包密钥仍处保护状态

根据披露内容，泄露范围限定于商品名称与交易金额等公开信息。关键身份验证要素如助记词、私钥、密码及支付凭证均未暴露。公司强调，所有用户的钱包安全基础未被破坏，相关资产不存在直接风险。

“我们向您致以诚挚的歉意。10月20日，我们检测到对官方网站的未经授权访问。在与Shopify核实API活动后，我们于10月23日确认第三方获取了客户的收货信息。您信任我们将这些细节交给我们，对此我们深感抱歉。”——Keystone Hardware Wallet (@KeystoneWallet) 发布于2026年10月24日

企业已封锁非法访问路径，修复技术漏洞，并着手向受影响用户发送合规通知。然而，初步通报中未说明具体影响人数、攻击者身份或入侵技术路径。需明确的是，此次事件仅涉及商家自建网店的接口滥用，不意味着Shopify平台本身存在缺陷。

数据保留策略存疑，180天规则解释模糊

Keystone在其《隐私承诺》中声明，订单完成后将自动清除收货信息，周期为180天；而《隐私政策》则指出，对过去180天无购买行为的客户，将抹除其订单数据。两种表述在逻辑上存在差异：前者聚焦单笔交易，后者基于用户活跃度。目前官方未阐明两者在实际操作中的执行差异。

部分用户反映收到早于宣传保留期限的旧订单泄露提醒，但该说法尚未获得证实，亦无法确认攻击者具体获取的数据范围。此外，公司尚未公布受影响记录的时间跨度或地理分布。调查仍在推进，预计将在数日内发布完整事故分析报告。

防范伪造通信，谨防冒充客服诈骗

Keystone特别警示，犯罪分子可能伪装成官方人员，通过电话、短信、邮件或纸质信函实施欺诈。常见手段包括虚构退款流程、要求更换设备或索取更正收货信息。由于攻击者掌握真实订单详情，此类骗局更具欺骗性。建议用户切勿点击来源不明链接，严禁在非订购设备上输入助记词，以避免资产损失。