Keystone 网站遭入侵，买家住址外泄，实体威胁加剧

硬件钱包品牌Keystone于10月24日披露,攻击者曾访问其网站并获取了客户的收货信息。该公司声明开篇即写道:"我们欠您一个道歉。"私钥和助记词并未被盗。被窃取的是一份名单,包括姓名、家庭住址、联系方式和订单记录,涉及购买了一款旨在让资金无法被他人触及的设备的人。

正是这一区别使此次事件意义重大。在自托管模式下,真正维持安全的是密码学部分。而此次泄露是数月来一系列事件的最新一例,这些事件表明,薄弱环节恰恰在芯片之外:出售设备的网店、负责发货的物流合作方,以及将真实门牌号与装有钱包的包裹连接起来的个人数据。

事件经过与时间线

Keystone于2026年10月20日发现其网站遭到未授权访问。随后三天,该公司与其电子商务服务提供商Shopify共同审查了API活动记录,并于10月23日确认有第三方获取了客户的收货信息。该公司于次日,即10月24日发布披露公告,并开始向受影响的客户发送电子邮件,据Cointelegraph报道。

泄露的字段包括姓名、联系方式、收货地址,以及订单详情,其中含所购商品及其价格。Keystone表示,支付卡信息、银行信息、助记词、私钥和钱包密码均未遭泄露,一家行业媒体如此概括。该公司称已阻断该访问、修补了漏洞、展开了调查,并承诺发布详细的事件报告。

Keystone尚未说明的内容与其已披露的同样重要。该公司未透露攻击者身份,未说明受影响客户的数量,未说明未授权访问始于何时,也未解释根本原因。此次入侵究竟源于被盗的API凭证、应用程序缺陷,还是网站基础设施其他位置的弱点,目前仍不得而知。调查人员还指出,Keystone提及的Shopify API活动,描述的是其所审查的证据,并不能证明Shopify自身平台遭到入侵,据CoinCentral报道。

未兑现的180天承诺

此事令人不安之处,在于Keystone自己公布过的一个数字。在2023年的一篇博客文章中,该公司表示已将客户数据保留期限缩短至180天,这一收紧措施是在其他硬件钱包厂商发生安全事件后宣布的。六个月的保留期是一项站得住脚的政策:既足以处理保修申请和运输纠纷,又足够短,不至于让陈旧的订单记录无限期留存。

随后,一些在两年多前购买设备的客户开始收到数据泄露通知。用户 trintaetres 在 X 上表示,尽管自己是在两年多前购买的设备,却仍收到了这封邮件。另一位使用"OG DEGEN"的用户则表示,自己接到了一通电话,来电者冒充正在调查欺诈案件的执法人员。他怀疑对方是从其 2024 年在 Keystone 下的订单中获取了信息,理由是来电者提到的细节与订单相符。"我想他们的计划是先让我相信我的私钥已经泄露,然后再发一个所谓用于重置私钥的钓鱼链接,"他写道,Cointelegraph 报道如是说。Cointelegraph 表示,已联系 Keystone,询问 2024 年之前的订单数据如何在 180 天保留政策下留存,以及受影响的客户数量,但截至发稿前未获回复。

数周前,Trezor 也出现了几乎相同的矛盾。2026 年 8 月,Trezor 披露其物流服务商 ShipMonk 发生的一起安全事件(8 月 10 日发现)泄露了客户记录。9 月 4 日,Trezor 表示此次事件的规模远大于最初报告:来自 2019 年 11 月至 2021 年 8 月期间与 ShipMonk 早期合作的订单数据也被泄露,约涉及 67,000 名额外的美国客户,据 CyberSecurityNews 报道。加上最初的数字,受影响客户总数超过 8 万。两起事件的模式如出一辙:供应商在客户关系结束后仍长期留存数据,而且在书面承诺中声称数据已被删除。

为何收货地址尤其危险

Keystone 的披露重点在于钓鱼风险。它警告称,诈骗者可能冒充公司工作人员,以虚假退款、更换设备或协助更正订单及收货地址为由实施诈骗。攻击者若掌握真实姓名、真实地址和真实订单号,便能写出极具针对性的可信信息,而这正是钓鱼攻击的核心手法。

安全研究员 Taylor Monahan 认为,风险远不止于收件箱。她在 10 月 24 日于 X 上写道:

当你泄露人们的收货信息时,真正变成现实的风险不是钓鱼,而是该死的人身攻击和绑架。

这一担忧背后的数据并不轻微。CertiK 的 Intel3D 团队核实了 2026 年上半年全球范围内的 52 起"扳手攻击"(以暴力胁迫获取加密资产的案件),较 2025 年上半年的 39 起增长 33.3%,记录在案的损失敞口达 1.241 亿美元,据 CertiK 报告。这些损失较去年同期增长了 11.8 倍,报告指出该威胁主要集中在西欧。扳手攻击是一种以暴力实施的胁迫:有人掌握了姓名和地址便会找上门来,而再安全的安全芯片也无法保护持有设备的人。一份将硬件钱包买家与其住址对应起来的名单,就是一份target清单。截至目前,Keystone 尚未报告与此事件相关的抢劫或绑架案件,人身威胁目前仍属于风险而非已被证实的后果。

硬件钱包的信任正遭受三方面同时的冲击

Keystone 并非孤例。过去两个月里,一系列事件从不同方向挑战着同一项假设,即硬件钱包是安全的。

• 供应渠道。本月早些时候,Ledger 暂停了通过其授权的东南亚经销商 CryptoBilis 的销售,此前区块链分析师追踪到,通过该商店购买的数百个钱包中被盗走超过 8600 万美元。我们对这起 8600 万美元调查的报道详细说明了,一个合法、经授权的经销商如何成为最薄弱的环节。
• 实体篡改。10 月 13 日,Ledger 公布了其作案机制:由该经销商出售的设备中藏有隐蔽植入物,在设置过程中从屏幕上读取 24 个单词的恢复短语,并通过预配置的 eSIM 经 LTE 网络发送出去,且没有触及安全芯片。我们关于这 1.02 亿美元区块链统计的报道涵盖了 324 个钱包的修订总额。
• 数据处理。Keystone 属于这一类别,与 Trezor 的 ShipMonk 泄露事件以及 2020 年 Ledger 的原始数据泄露事件并列。在后者中,一个电子商务数据库遭到入侵,泄露了客户姓名和邮寄地址。这些记录助长了多年的冒充行为,包括 2025 年 4 月寄给 Ledger 客户的欺诈信件,要求他们扫描二维码并输入恢复短语,正如 TronWeekly 所记录的。
• 转售与再利用。CryptoBriefing 对当前形势的总结还指出,Ledger 本月早些时候确认,犯罪分子篡改了正品硬件钱包以窃取恢复短语,并通过东南亚经销商转售,这与 CryptoBilis 调查是另一条线索,据 Crypto Briefing 报道。

综合来看,这些并不是同一种攻击的重复。它们是四种不同的失效模式:销售设备的商店、设备内部的芯片、负责运送的物流商,以及记住购买者身份的数据库。我们对 Ledger 植入物的技术分析从硬件角度得出了相同结论:密码学本身是可靠的,出问题的是它周围的一切。

受影响持有者应采取的措施

Keystone 的建议很常规,但值得严格遵循。切勿分享恢复短语或私钥。除非是您自己发起的订单,否则切勿将恢复短语输入任何设备或网站。对于任何声称来自 Keystone、涉及退款、更换、物流问题或钱包安全问题的意外联系,在证实之前一律视为有敌意。所有核实均应通过公司官网进行,直接手动输入网址,而不要通过电子邮件、电话或短信中的链接。

就实体层面而言,数据所指向的结论虽不令人舒服,但有必要直言。与硬件钱包购买相关联的收货地址应被视为永久暴露。如果正在转移大额资金的买家,可以通过以下方式降低风险:使用邮政信箱或包裹储物柜;将资产分散到不同供应商和不同收货地点,避免单一清单映射出完整的资产组合;并低调处理设备的到货和开箱。这些都无法取代防钓鱼的安全习惯,也不构成放弃自托管的理由。它只是认识到,在 2026 年,地址栏本身就是攻击面。

Keystone 尚未回答的问题

该公司承诺发布一份详细报告。在报告发布之前,待解的问题都具体且可以回答:有多少客户受到影响?访问始于何时?是否有凭证被盗,如果有,是谁的凭证?最尖锐的问题是:两年多以前的购买记录,如何逃过2023年公布的180天保留政策?这最后一个问题决定了此事究竟是违反了一项只存在于纸面上的政策,还是违反了一项从未真正落实的政策。

结论:承诺的分量取决于执行

自托管的卖点在于一种清晰的分离:密钥归你所有,公司无法触碰,数学原理不会失效。本月发生的每一起事件都印证了这种分离,然后攻击了与之相邻的部分。Keystone的密钥保持安全,但其客户的"大门"并未安全。

披露本身迅速而直接:从发现到确认仅用了三天,一天之后即公开致歉,这一表现优于该行业大多数公司。然而,此次披露与公司自身公布的保留政策相矛盾,而这一矛盾将比这则新闻的热度持续更久。接下来的走向不难预料:客户将要求证明保留政策是被执行的,而非仅仅被宣布的;在这样的市场中,一次硬件钱包的购买会留下一道痕迹,而且这道痕迹的存留时间会比设备本身更长。

数学原理依然成立,芯片依然可靠。反复失效的,始终是那些从未被任何白皮书覆盖的部分,而本月它又一次失效了。