币圈界报道：

Keystone硬件钱包用户信息外泄事件深度剖析

知名加密硬件钱包制造商Keystone证实，其客户发货数据（含姓名、联系方式及收货地址）遭遇非授权第三方访问。公司已切断数据通道、修复漏洞，并启动调查，同时向受影响用户发送通知，但未公布具体影响人数。

安全漏洞披露与企业致歉声明

Keystone在社交媒体平台X上发布官方声明，承认于10月20日发现对其官网的异常访问行为。经与Shopify团队联合核查API活动后，确认自10月23日起存在第三方非法获取客户资料的情况。

该公司强调，此次事件涉及的信息包括用户的全名、联系电话、配送地址以及订单明细（如商品类型与支付金额）。尽管已采取技术阻断与系统修复措施，但并未公开受影响用户的具体规模。

声明中写道：“我们欠您一个道歉。您将个人信息托付给我们，而我们未能尽到应有的保护责任。”

真实威胁在于现实人身袭击而非网络钓鱼

尽管官方提及网络钓鱼风险，但资深安全研究者Taylor Monahan指出，此次泄露最致命的后果并非数字欺诈，而是潜在的实体暴力犯罪。

Monahan明确表示，攻击者可利用暴露的收货地址精准定位持有者的居住地，进而实施“扳手攻击”——即通过胁迫或武力手段迫使受害者交出加密资产。

他强调：“当发货信息外泄时，真正的危险不是网络钓鱼，而是真实的物理袭击和绑架。”

据区块链安全机构CertiK统计，2026年上半年全球确认的扳手攻击达52起，较去年同期增长33%。截至同年8月，相关案件造成的经济损失已超过1亿美元。另有数据显示，全球已有31个国家记录到122起加密货币相关的实体攻击事件，其中法国为高发区域。

数据保留期限存疑：旧订单仍被暴露

此次事件也暴露出Keystone数据管理政策的矛盾点。该公司曾在2023年宣布将客户数据存储周期缩短至180天。

然而，部分购买设备超过两年的用户仍收到泄露通知，暗示部分历史订单数据可能未按承诺删除。

一位名为“OG DEGEN”的用户透露，曾接到自称执法人员的来电，对方声称其账户涉嫌欺诈，并试图诱导其点击钓鱼链接以“重置私钥”。该用户怀疑对方正是通过2024年的旧订单信息获取了其身份细节。

另一位用户trintaetres同样表示，即便两年前完成购买，仍收到了相关警报邮件。

针对此问题，Cointelegraph已向Keystone求证早期订单数据为何仍可被访问，以及实际影响范围，但截至发稿仍未获得回应。