加密硬件钱包制造商Keystone披露了一起网站安全漏洞事件，客户信息因此暴露给攻击者，引发了对针对性诈骗和人身攻击的担忧。

该公司周六表示，其在本周早些时候检测到可疑活动，并在周五与Shop<arg_value>ify一同审查API活动后确认，一个未经授权的第三方曾访问客户的收货信息。泄露的数据包括姓名、联系方式、收货地址以及所购商品等其他订单详情。

“我们已封锁访问权限、修复了漏洞、展开调查，并正在向受影响的客户发送邮件，”该公司在一份X声明中表示。

Keystone警告称，暴露的信息可能被用于针对性钓鱼攻击。安全研究员Taylor Monahan提出了进一步的担忧，指出泄露的收货地址可能使客户面临人身攻击和绑架风险。这一事件凸显了硬件钱包持有者特有的风险：设备本身的设计是将私钥保存在离线状态，但其制造商掌握的客户数据却可能反过来被用来对付持有钱包的人。

此次披露正值所谓“扳手攻击”增多之际——这类犯罪通过人身威胁或暴力手段迫使加密货币持有者交出资产。区块链安全公司CertiK记录到，2026年上半年全球共发生52起经核实的扳手攻击事件，较去年同期的39起增长33%。

“再次向所有受影响的人表示真诚的歉意，”Keystone表示。该公司未披露受影响客户的数量。

Keystone因删除客户数据的承诺受到质疑

此次漏洞事件还引发了外界对Keystone如何处理较早客户信息的质疑。该公司在一篇2023年的博客文章中表示，在其他硬件钱包制造商遭遇安全事件后，已将客户数据保留期缩短至180天。

然而，一些客户表示，尽管他们购买设备已超过两年，仍收到了漏洞通知，这引发了疑问：Keystone究竟保留了哪些信息，这些通知是否表明较早期的订单记录并未如承诺那样被删除。

一位名为“OG DEGEN”的X用户表示，接到一名自称执法人员、正在调查一起欺诈案件的诈骗者来电。根据对方提及的个人信息，该用户怀疑信息来自2024年下达的一笔Keystone订单。

“我认为他们的计划是让我相信我的私钥已经泄露，然后发送一个钓鱼链接，让我‘重置’私钥，”该用户在X上写道。这种冒充身份、制造紧迫感并提供“修复”泄露私钥链接的组合，遵循了一种常见的钓鱼攻击套路，目的是诱骗用户在攻击者控制的网站上输入助记词——即可以在任何地方恢复硬件钱包内容的一组单词。

另一位X用户trintaetres也表示，尽管购买设备已超过两年，仍收到了邮件通知。

Cointelegraph联系了Keystone，询问在已公布的保留政策下，超过180天的购买订单的客户信息为何会暴露，以及有多少客户受到影响截至发稿时，该公司尚未回应。随着调查继续，受影响客户和观察者接下来关注的是，Keystone是否会解释为何180天窗口之外的记录似乎被保留了下来，以及有多少人受到了影响。