比特币硬件钱包制造商 Keystone 因认证密钥失窃销毁设备

比特币硬件钱包制造商 Keystone 周一表示，攻击者取得了用于证明其硬件为正品的密钥，因此公司将销毁 18,835 台尚未售出的设备，并暂停从官网发出所有尚未交付的订单。Keystone 硬件钱包用于将控制加密资产的秘密代码离线保存。 对买家而言，风险在于仿冒钱包可能看起来像全新产品，还能通过 Keystone 自己的验证检查，因为攻击者取得了该检查所依赖的密钥。犯罪分子可能出售这类设备，买家若将真实资产存入其中，便可能面临风险。

Keystone 在声明中表示：“如果该密钥泄露，攻击者可能利用它制造能够通过认证检查的仿冒设备。这些设备随后可能被出售或寄送给客户，客户可能在不知情的情况下将其当作正品使用，进而导致资产被盗。” Keystone 将该密钥称为 WebAuth 密钥。它是在工厂写入每台设备的秘密代码，用户可通过公司网站页面确认硬件是否为正品。该密钥无法擦除或改写，因此库存中搭载这一密钥的 18,835 台设备将被销毁，而不会出售。

Keystone 周六首次表示，第三方取得了客户配送信息。公司周一的声明进一步披露，被盗密钥及受影响的 25,964 条买家记录，但没有说明责任方是谁，也没有透露攻击者何时首次入侵。 此次事件涉及 Keystone Shopify 商店的记录，该电商平台负责处理其线上销售。Keystone 表示，共有 51,083 条买家记录受到影响，其中 25,119 条记录的个人信息此前已被删除；其余 25,964 条记录涵盖 2024 年至 2026 年的数据，仍包含姓名、联系方式、配送地址和订单信息。

通过亚马逊及其他渠道购买的客户不受影响。

部分数据原本就应当删除。Keystone 的政策规定在 180 天后删除买家记录，但公司为此开发的自动批量删除工具运行并不可靠。 Keystone 表示：“部分删除任务未能完成，我们也未能及时发现并处理这些故障，导致某些个人信息超出允许期限仍被保留。我们未能按时履行删除客户数据的承诺，并对此承担责任。”

客户名单一直是硬件钱包制造商面临的常见薄弱环节。Ledger 2020 年的数据泄露最终涉及约 292,000 名客户；此后收到钓鱼邮件的客户曾担心自己可能成为入室抢劫的目标。