硬件钱包制造商Keystone表示，上周入侵其网站的攻击者还窃取了用于验证设备真伪的密钥，使这起最初仅披露为客户数据泄露的事件的影响范围进一步扩大。

Keystone周一在一份X声明中警告称，被盗的认证密钥可能使攻击者能够生产通过公司真伪验证的伪造钱包。

Keystone表示：“这些设备随后可能被出售或发送给客户，客户可能在不知情的情况下将其当作正品使用，从而导致资产被盗。”

硬件钱包的设计目的是将控制加密资产私钥保存在离线环境中，而真伪验证则用于在设备初始设置前确认其为正品。由于验证密钥本身被盗，目前受到威胁的恰恰是用于识别伪造品的那道防线。

此次披露使Keystone成为今年针对硬件钱包制造商一系列攻击的最新受害者。本月早些时候，Ledger要求东南亚和香港的经销商暂停销售，因有报告称该地区售出的设备中包含能够窃取助记词的未经授权植入组件。7月下旬，Coldcard制造商Coinkite向用户发出警告，此前攻击者利用一个漏洞使其设备生成的钱包种子熵值低于预期，导致价值数百万美元的加密货币被盗。

Keystone将销毁逾18,000台含旧密钥的设备

根据Keystone的最新通报，攻击者利用该公司网站使用的第三方监控工具中的漏洞提升了权限。

公司表示：“这使攻击者获取了部分客户信息以及一枚用于验证我们设备真伪的密钥。”

Keystone表示，计划销毁库存中包含被盗密钥的18,835台设备，并已暂停所有使用该密钥的设备的生产发货。一旦公司开始生产采用新认证密钥的设备，发货将会恢复。Keystone尚未公布切换时间表；该公司周一在其X账户上发布了此次更新。

公司表示，10月20日事件之前制造和交付的设备应被视为安全，其真伪验证仍然可信。然而，公司无法保证该日期之后交付的设备的真伪，并敦促受影响的客户联系其支持团队进行额外验证。

Keystone确认25,964条买家记录泄露

Keystone还披露了客户数据泄露的范围，称其网站的Shopify商店共生成了51,083条买家记录。其中25,119条已根据其180天数据保留政策被删除。

其余25,964条记录（时间跨度为2024年至2026年）可能已被攻击者窃取。Keystone将旧记录未及时删除归因于其用于批量数据清除的自动化工具发生故障。

Keystone表示：“该工具运行不稳定。部分清除任务失败，我们未能及时发现并处理这些故障，导致某些个人信息被保留超过允许的期限。”

攻击者可能还曾访问Shopify保留的12,873条客户结账记录——这些信息来自未完成的购买交易。Keystone表示，已联系Shopify，要求删除保留超过30天的结账记录中的个人信息。

硬件钱包安全事件频发的一年

周一的披露让人联想到2020年6月Ledger的数据泄露事件，该事件暴露了超过100万个电子邮件地址，以及客户姓名、电话号码和实际住址。泄露的信息多年来持续引发针对受影响用户的网络钓鱼攻击。

今年，其他硬件钱包制造商也发生了涉及客户信息和第三方服务的安全事件。8月，Trezor披露其物流合作伙伴发生泄露事件，暴露了客户信息，受影响用户数量在9月扩大至超过80,000人。SafePal也在8月报告了一个订单追踪漏洞，暴露了近40,000名客户的数据，而BitBox则在9月遭遇了一场涉及被入侵的第三方电子邮件服务商的网络钓鱼攻击。

Keystone的事件符合今年各起泄露事件中供应商暴露的共性：其攻击者通过第三方监控工具入侵，正如Trezor的泄露可追溯至物流合作伙伴、BitBox的网络钓鱼攻击可追溯至被入侵的电子邮件服务商一样。

来源：Cointelegraph