Keystone承认数据泄露但否认关键妥协

硬件加密钱包制造商Keystone证实，一名攻击者访问了公司的在线商店并窃取了客户的个人数据。根据公司的声明，黑客获取了客户的姓名、联系信息、送货地址、订购设备的详细信息及其成本。未经授权访问该网站的情况于10月20日被发现。三天后，公司与其平台运营的Shopify一起检查了API中的活动，并确认了泄漏。之后，开发人员阻止了访问，修复了漏洞，启动了内部调查，并开始通过电子邮件向受影响的客户发送通知。

Keystone声称，支付和银行详细信息、种子短语、私钥和钱包密码未受到影响。然而，目前尚无独立确认这些说法。公司尚未披露受影响的个人数量、系统渗透的方法或攻击者的身份。详细报告承诺将在未来几天内发布。

事件发生后，一些客户怀疑Keystone是否遵循其自身的隐私政策。制造商的网站声明，交付信息会在下订单后180天自动删除，客户可以在收到设备后立即请求删除。公司多次强调这是一个优势。然而，几位用户在X上报告称，他们收到了有关泄漏的通知，尽管自他们下订单以来已经过去了180多天。一位昵称为trintaetres_33的客户提到，他在两年前购买了一个钱包。另一位用户指出，他的最后一次订单和泄漏之间已经过去了214天。

另一位化名为PEPE_Whale69的客户在制造商的官方声明之前就发出了警报。据他所说，他接到了一个伪装成蒙特利尔警察号码的电话，询问他是否熟悉Amazon、eBay或Keystone的名字。来电者掌握的信息与PEPE_Whale69在2024年从Keystone的订单数据相符。对此，公司表示已启动紧急调查，但未公开回应有关180天规则的问题。同时，在2026年7月7日更新的当前隐私政策中，期间不是从订单日期开始计算，而是从最后一次购买开始计算。根据文件，公司仅对180天内未下订单的客户删除数据。如果客户下了新订单，则保留有关以前订单的信息。同样的条款也出现在2023年2月最后更新的帮助中心文章中。

回顾一下，8月份，硬件钱包制造商Trezor报告称，在物流合作伙伴ShipMonk遭到破坏后，近14,000名客户的数据泄露。9月份，公司报告了另有67,000名受影响者，使受事件影响的用户总数接近81,000。被泄露的数据库包含姓名、电话号码、电子邮件地址和送货地址。