Keystone确认10月官网遭入侵,客户收货信息被盗

Keystone确认官网遭入侵

隔空冷签钱包硬件钱包厂商Keystone已确认,有外部人员从其线上商店窃取了客户的收货信息。公司官方账号于10月24日发布披露声明:10月20日检测到官网出现未授权访问,随后与电商平台服务商Shopify共同核查应用程序接口活动,10月23日确认第三方确实获取了数据。声明以道歉开篇,坦言客户将个人信息托付给了公司。此次在硬件钱包下单过程中被盗的记录包括姓名、联系方式、收货地址、订购的产品及其价格。据披露,支付卡信息、银行账户信息、助记词、私钥与钱包密码均未外泄。Keystone表示已切断未授权访问、修复漏洞并启动调查,同时开始向受影响客户发送邮件通知,一份详细的事件报告也在准备中。不过,声明留下了多处空白:未公布攻击者身份、未给出受影响客户数量、未说明入侵最早从何时开始,也未指出被利用的具体漏洞。入侵者究竟使用了被盗的API凭证、 storefront应用中的缺陷,还是其他基础设施弱点,公司尚未给出公开结论。Keystone提到与Shopify接口相关的核查活动,说明了调查人员确认数据被盗时查看的对象,但并不等于Shopify平台本身被攻破。Shopify提供的是店铺基础设施和编程接口,供商家与经过授权的应用管理客户记录和订单,而一个接入应用能触达多少数据,取决于它被授予的权限。此次事件中涉及哪些凭证或权限,目前仍未披露。

@KeystoneWallet · X 帖子

披露声明.

在 X 上查看

钓鱼风险与人身威胁

这批数据泄露后的直接危险,不在Keystone的系统之内。姓名和住址能精确锁定买过硬件钱包的人,加上真实的订单细节,伪造信息会显得极具说服力。公司提醒客户提防冒充Keystone的邮件、电话、短信乃至实体信件,预计的诱饵包括虚假退款、以旧换新的"替换设备"以及要求"更正配送信息"之类的说辞。公司明确告诫:绝不向任何人透露助记词,绝不在非自己下单购买的设备中输入助记词,收到可疑联络时直接联系官方客服核实。安全开发者Taylor Monahan的表态更进一步,她发布的人身威胁警告提到了抢劫与绑架,这一风险在业内被称为"扳手攻击",即犯罪者用暴力强迫持币人交出资产。披露中没有任何确凿证据表明这批被盗记录已经导致实际攻击。币安前首席执行官赵长鹏(CZ)对公告的回应只有一句:"Stay SAFU!"这起事件让人想起2020年竞品厂商Ledger遭遇的入侵:攻击者利用一个API密钥访问了公司电商与营销数据库的部分内容。Ledger最初统计约100万个电子邮箱地址泄露,约9,500名客户的详细个人信息失窃;2020年12月被盗数据库公开出现后,公司承认实际波及面更大,约27.2万条记录包含姓名、邮寄地址和电话号码。直到2025年4月,冒充Ledger的欺诈信件仍在寄达客户,诱导收件人扫描二维码并输入助记词。另外,Ledger还在调查从一家东南亚经销商处购买设备的用户的资产损失,并已要求该经销商作为预防措施暂停销售与发货。

@tayvano_ · X 帖子

人身威胁警告.

在 X 上查看

Keystone尚未回答的问题

这份披露中真正的重心,在于没有被盗走的东西:冷钱包设计未被触碰,失窃数据中没有出现任何加密钱包凭证,外泄内容完全属于个人信息。因此风险转移到了人的层面,攻击者只需把真实的订单历史与一通电话或一封信件搭配起来。Keystone待发布的事件报告应当回答三个悬而未决的问题:受影响客户有多少人、访问从何时开始、入侵者使用了哪个凭证。Ledger 2020年数据库留下的教训足以说明问题:六年后,它仍在为骗局供货。对任何未经请求的退款、换机或配送信息,都应视为恶意,直到直接向厂商核实为止。