加密货币硬件钱包制造商 Keystone 披露，其近期安全事件远比最初报道的更为严重：攻击者窃取了一把关键认证密钥，可能使伪造设备通过该公司的官方验证检查。

该公司于 2026 年 10 月 26 日发布了这一扩大范围的披露，此前仅报告了客户信息泄露。作为应对，Keystone 计划销毁 18,835 台硬件钱包、暂停待发货物，并引入更强的认证保障措施。

攻击者获取 WebAuth 密钥

Keystone 于 10 月 20 日首次检测到其官方网站遭到未授权访问。调查人员随后确认，攻击者利用了第三方数据监控工具中的漏洞，从而获得了更高权限。

被盗数据中包括 Keystone 的 WebAuth 密钥，即用于验证硬件钱包真伪的凭证。此类检查让买家能够确认设备是正品而非伪造或被篡改的产品，因此该凭证处于产品信任体系的核心。

该密钥在生产过程中嵌入设备，意味着已流通的设备无法擦除或更换该密钥——与泄露的密码不同，它无法简单地被轮换。因此，犯罪分子理论上可以制造能够通过 Keystone 官方认证流程的伪造钱包，进而可能使毫无戒备的加密货币持有者面临资产被盗的风险。不过 Keystone 强调，被盗密钥无法生成助记词、派生私钥或授权加密货币交易。公司表示，尚未确认任何利用该被盗凭证的伪造设备案例。

18,835 台设备将被销毁

在发现该问题后，Keystone 宣布将销毁 18,835 台含有被盗认证密钥的设备。公司还暂停了网站未完成订单的发货，直至替换设备就绪。

新制造的钱包将采用不同的认证密钥。与此同时，Keystone 已将网站销售转为预售模式，同时准备替换库存。

调查还发现，黑客访问了与 25,964 条客户购买记录相关联的个人信息。此外，Keystone 还确认了 12,8 条可能包含敏感客户信息的未完成结账记录。泄露的数据包括姓名、联系方式、收货地址和购买历史。公司承认，其自动删除系统的故障导致部分客户信息的存储时间超出预期。

提醒用户警惕骗局

Keystone 表示，10 月 20 日之前交付的钱包只要通过认证检查，仍然可信。在该日期之后收到包含旧密钥设备的客户，建议联系官方支持进行额外验证。

公司还提醒用户警惕虚假召回通知、更换优惠以及要求转移加密货币资产的请求。Keystone 强调，绝不会要求客户交出助记词，也不会通过未经请求的召回要求客户返还设备。鉴于泄露的记录，此类警告尤为重要，因为真实的姓名、地址和订单历史可能使欺诈信息看起来更具可信度。

尽管私钥和助记词未被泄露，但该事件表明，硬件钱包制造商面临的安全风险不仅限于设备本身，还涵盖客户数据以及支撑投资者信心的认证系统。值得关注的后续进展包括：是否有伪造设备被确认、替换设备何时在预售模式下恢复发货，以及 Keystone 承诺的更强认证保障措施将采取何种形式。