币圈界报道：

Keystone大规模销毁设备：密钥泄露事件全解析

硬件钱包品牌Keystone宣布将销毁其仓库中积压的18,835台成品设备，并全面暂停发货流程。此举源于2026年10月20日公司官网遭遇网络攻击，造成用于设备真伪验证的核心密钥外泄。由于该密钥在生产阶段被永久写入芯片且无法更新，制造商只能选择彻底清除受影响批次。

攻击源头：第三方监控工具漏洞暴露网站风险

此次入侵并非针对单个设备，而是通过一款嵌入官网页面的第三方数据追踪工具实现。攻击者利用该工具存在的设计缺陷，在2026年10月20日成功渗透系统。此类服务普遍存在于电商页面中，近期已有多个行业竞争对手因类似问题遭殃，暴露出前端集成环节的系统性脆弱。

泄露数据分层：客户信息与核心密钥并存

公司确认，本次事件涉及两类敏感信息：一是涵盖2024至2026年间共25,964条购买记录及12,873个弃单数据（含姓名、联系方式、配送地址等）；二是关键的WebAuth密钥，这是验证设备真实性的唯一凭证。值得注意的是，助记词、私钥、支付资料及身份文件均未受波及，表明事件本质为信任机制受损，而非资金被盗。

不可更改的出厂密钥：制造端的永久性缺陷

WebAuth密钥是设备在出厂时烧录的唯一标识符，仅制造商持有对应验证算法。一旦写入，便无法擦除或替换。这意味着所有已生产但尚未售出的旧批次设备，都永久携带了已泄露的密钥。尽管生产线已切换至新密钥，但库存中的旧设备已无修复可能，只能通过物理销毁消除风险。

库存清零与发货暂停：从损失到用户保护

18,835台带有旧密钥的设备将被彻底销毁，不再进入市场。官方虽暂停实物发货，但仍接受预购订单，未来买家将收到预计交付时间而非实体包裹。这一决策虽带来巨大经济损失，却有效防止了假冒产品流入消费者手中。建议有意购买者优先参考可信渠道的硬件钱包对比指南，尤其关注交付路径的安全性。

验证机制为何至关重要？防伪链条的最后防线

在用户输入助记词前，设备真伪验证是最后一道防御屏障。若攻击者掌握原始密钥，即可制造外观一致、可顺利通过在线验证的仿冒品。目前尚无相关案例报告，也未出现资金损失，因此用户无需立即转移资产。但长期来看，旧批次设备的验证功能已失效，仅能证明“非伪造”，而无法排除“盗密复刻”。

助记词安全边界清晰：自我托管原则依然成立

助记词由设备本地生成，不存储于任何外部服务器。因此，网站入侵不会触及该核心信息。只要用户妥善保管种子短语，当前事件不会构成直接威胁。如对存储方式存疑，可查阅“安全存储种子短语”指南以规避常见错误。

交付日期成关键分界线：识别风险设备的唯一标准

制造商以2026年10月20日为时间分水岭。此前交付的设备，因密钥尚未公开，仍可通过官方验证正常使用。此后发货且搭载旧密钥的设备则需额外核查。用户可通过查看收货确认邮件中的交付时间判断自身是否属于高风险群体。

召回骗局泛滥：别让真实消息成为诈骗温床

关于设备销毁的新闻极易被恶意利用。骗子会伪装成官方信函，声称开展“回收计划”或“安全迁移”，并精准使用客户的姓名和地址增加可信度。然而，Keystone明确表示：绝不要求用户寄回设备。任何索要硬件或助记词的行为均为诈骗。请牢记：真正安全的人不需要你的设备，更不会索取你的十二个单词。

家庭地址泄露：长期隐私风险不容忽视

虽然密钥泄露影响有限，但25,964条包含家庭地址的信息暴露，可能催生针对性钓鱼攻击，甚至极端情况下的物理胁迫。建议未来下单时选择可隔离个人地址的配送方式，避免信息重复暴露于多个数据库。

新密钥能否重建信任？现实比理想更复杂

对于新产线设备，验证机制仍具可靠性。但对于已流通的旧批次，即使验证通过也无法完全排除仿冒可能。唯有待旧设备彻底退出市场，信任体系才能重建。在此期间，购买渠道的透明度远胜于验证标志——应优先选择直接来自制造商或授权经销商的密封新品。

四起硬件钱包事件：弱点各不相同，但根源相通

2026年至今，四起独立事件揭示不同环节的漏洞：Ledger案源于分销链篡改；Coldcard案源于随机数生成故障；Foundation案出自钓鱼邮件攻击；而Keystone则暴露了企业运营中对验证机制的依赖与数据管理失职。共同点在于：硬件本身未背叛承诺，真正的风险藏于围绕设备的企业流程之中。

操作指引：以交付日期为准，理性应对风险

首要任务是核对发货确认邮件中的交付时间。若早于2026年10月20日，设备仍可安全使用；若晚于此日，则需联系支持部门进行额外检查。切勿响应任何“召回”“置换”或“迁移”请求，无论对方是否准确提及姓名与地址。如需更换设备，请先评估配送渠道安全性，并参考软件钱包对比指南作为替代方案。