Keystone计划销毁18,835个设备，因认证密钥泄露

硬件钱包制造商Keystone将在安全事件后销毁18,835台未售出的设备，并暂停订单发货。攻击者获取了客户数据和用于设备认证的WebAuth密钥。

此次攻击发生在2026年10月20日，通过第三方数据监控工具的漏洞：攻击者提升了权限并访问了信息和密钥。泄露影响了25,964条通过Shopify在官网下单的客户记录，包括姓名、联系方式、送货地址和订单信息，以及12,873条未完成结账的记录。通过Amazon和其他渠道的购买未受影响。

WebAuth密钥在制造过程中记录在设备中，无法移除或替换。理论上，其泄露允许创建通过认证的假冒设备：客户可能误认为是真品，从而使其加密资产面临风险。公司强调，该密钥不涉及生成助记词、获取私钥或签署交易。

Keystone承认，由于自动记录删除工具的故障，某些个人数据的存储时间超过了规定期限：公司未能检测到该故障。删除过期数据的请求已于10月24日发送给Shopify，预计将于11月3日完成。存储政策将从180天减少到90天。

客户应该怎么做

Keystone表示，该事件未影响助记词、私钥、其他钱包凭证、银行支付信息和政府文件号码，因此仅因泄露而转移资产是没有必要的。10月20日之前交付的设备如果通过认证是安全的；在此日期之后收到旧密钥设备的客户建议联系支持以进行额外验证。公司警告可能有骗子提供“资产迁移”或要求退还设备。

Keystone已暂停订单发货，并将转为预订，直到开始发布使用新密钥的设备。新钱包将使用新的验证密钥。

此前，Foundation披露了类似事件：攻击者从其官方域名发送钓鱼邮件。公司报告了超过23,000次钓鱼尝试，并发现了绕过60天删除流程的旧数据库副本——约5,600个电子邮件地址和5,200个电话号码。