Keystone因WebAuth密钥被盗将销毁18,835台硬件钱包

WebAuth密钥被盗迫使库存销毁

硬件钱包厂商Keystone宣布,将销毁18,835台尚未发货的硬件钱包,原因是攻击者窃取了公司用于认证设备真伪的加密密钥。公司在10月26日星期一发布的事后说明中解释,这把WebAuth密钥在生产环节被永久写入设备,无法改写或擦除,用该密钥组装的设备可能被仿冒,却仍能通过Keystone的真伪校验。这道校验本来是为了阻止伪造设备流入买家手中,也正因如此,一枚制造层面密钥的失窃才如此严重:一台仿冒品可以在通过全部厂商检测的同时,把资金导入攻击者实际控制的加密钱包,而对已经生产的设备来说,撤销这把密钥在技术上没有可能。调查显示,入侵源于一个第三方数据监控工具的漏洞,攻击者借此在官方网站上提升了访问权限。10月20日星期二,公司发现可疑活动,随即停用网站相关功能并启动取证审查;10月23日星期五,Keystone确认第三方已获取客户的收货信息。目前开放网络订单的发货已暂停,商店转为预售模式,公司尚未说明以新密钥生产的替代批次何时完成。在官方更新声明中,Keystone表示助记词、私钥、钱包凭据和支付信息均未泄露,10月20日之前交付的设备只要通过真伪校验仍可安全使用,之后收到的设备则需要通过客服进行额外核查。公司已在欧盟、英国及其他司法辖区提交监管报告,计划上线数据泄露查询工具,且未因本次事件要求客户转移资金,同时提醒买家警惕要求寄回设备的假冒召回信息。

@KeystoneWallet · X 帖子

更新声明.

在 X 上查看

25,964条买家记录超期留存

同一项调查还暴露出Keystone在客户数据管理上的失误。在核查的51,083条Shopify买家记录中,仍有25,964条包含个人信息,涵盖姓名、收货地址、联系方式以及2024年至2026年的购买记录。公司承认自动化删除系统出现故障,导致数据在承诺的180天保留期限之后仍未清除。声明中写道:「我们未能履行按时删除客户数据的承诺,我们对此承担责任。」另有约25,000条记录已按保留政策被永久清除,但这一缺口说明删除工具的运行并不可靠。调查人员还发现12,873条未支付订单记录,其中可能包含敏感信息,现已加入删除队列。今后数据保留期上限调整为90天,10月24日提交的逾期删除请求预计在11月3日星期二之前完成。事件浮出水面的契机是一名客户描述了接到「社会工程学」电话的经历,对方通话中使用了Keystone的订单信息;约18小时后,公司于10月24日星期六发布致歉声明,确认收货数据被盗。Keystone并非唯一承压的厂商。星期一清晨,Foundation自有域名发出的钓鱼邮件开始抵达Passport用户邮箱,起因是Cloudflare上的一个或多个API密钥遭泄露。Foundation统计,其系统范围内已送达的钓鱼尝试超过20,000次,仍在核实究竟有多少用户的个人信息被曝光。这些邮件利用显示屏模块制造恐慌话术,手法与近期被攻破的Ledger设备事件相呼应。Foundation将此次数据暴露归咎于数据库迁移操作失误,旧的订单表从未做脱敏处理,同时表示较新的Shopify订单也可能受到影响,而该公司此前曾向客户保证数据会在60天内自动清除。

@KeystoneWallet · X 帖子

致歉声明.

在 X 上查看

两起事件的共同点在于,设备本身都没有被攻破,失守的都在运营层面:网络基础设施、数据保留管理与数据库迁移。这把现实风险推向了钓鱼攻击。泄露的姓名、地址和订单记录让假冒电话与邮件更具说服力,而近期的Ledger间谍软件事件与Coldcard助记词生成漏洞,正是通过类似的社会工程手法合计造成超过2亿美元的损失。Keystone确认助记词未被触碰,是本次事件中最令人安心的一点,因为一旦助记词泄露,某个HD钱包派生出的所有地址都会沦陷。对任何持有冷钱包的用户而言,验证操作只应通过官方渠道进行,任何召回或退款信息在确认之前都应保持怀疑。这起事件再次提醒人们,真正的损失大多源于硬件钱包使用的常见错误与厂商侧的管理疏漏,而非硬件本身出了问题。