硬件钱包制造商Keystone确认发生一起客户数据泄露事件，一名未经授权的第三方访问其网站后，客户姓名、联系方式、收货地址及购买记录被曝光。

该公司于2026年10月20日检测到可疑活动，并在10月23日检查Shopify API活动后确认数据失窃。被泄露的记录包括客户购买的产品及其价格——这些信息可被用于识别硬件钱包持有人及其居住地址。由于硬件钱包将控制加密货币资产的私钥保存在离线状态，即使设备本身未被攻破，将特定设备与家庭住址关联起来的记录也被视为敏感信息。

Keystone于10月24日在一份X声明中公开披露了该事件，确认支付卡信息、银行信息、助记词、私钥及钱包密码均未被泄露。

该公司随后封锁了未经授权的访问，修复了漏洞，并开始通过电子邮件通知受影响的客户。公司尚未说明有多少客户受到影响，也未说明攻击者如何获取这些信息。

Shopify API活动暴露购买记录

Keystone的调查将未经授权的访问追溯到支持其网站的电商基础设施，而非其硬件钱包设备被攻破。泄露的数据将客户身份和收货地址与具体购买历史相结合，为攻击者利用真实交易细节冒充制造商创造了机会。

攻击者在试图通过诈骗电话、电子邮件或短信获取更多信息时，可能会引用客户的实际订单、所购设备或收货地址。Keystone警告称，诈骗者可能提供退款、更换硬件钱包或协助解决所谓配送问题的服务，此类接触可能通过电子邮件、短信、电话或实体邮件进行。

该公司尚未查明攻击者身份，未确定被获取的记录数量，也未披露此次入侵是否涉及API凭证泄露、应用程序漏洞或其他访问方式。Shopify参与API调查并不意味着Shopify更广泛的基础设施遭到攻破。

钱包制造商泄露事件再度发生

此次事件是加密货币钱包制造商及其电商合作伙伴一系列类似泄露事件中的最新一起。

今年9月，Trezor扩大了对ShipMonk数据泄露事件的调查，发现另有约67,000名美国客户的个人信息被泄露。受影响的记录包括姓名、电话号码、电子邮件地址、收货信息以及可追溯至2019年的订单历史，使最初涉及13,689名客户的事件规模大幅扩大。

今年8月，SafePal披露了一个订单追踪漏洞，导致39,798名客户的个人信息和购买信息被泄露。该公司将事件归因于用于访问物流信息的插件中的授权缺陷。

今年1月，在电商合作伙伴Global-e发生数据泄露后，Ledger客户遭遇了定向网络钓鱼攻击，诈骗信息利用通过该第三方提供商泄露的客户数据传播——这一过程与Keystone目前警示客户防范的后续诈骗手段类似。

尽管各事件的技术原因受影响的基础设施不同，但每起事件都涉及商业或履约系统所持有的客户信息。

警惕假冒替换设备

Keystone敦促客户不要点击意外收到的通信中的链接，在寻求支持时直接访问其官方网站。制造商特别警告，不要在未经主动提供的替换设备中输入助记词，也不要与任何声称代表其客户服务团队的人分享私钥。

已向疑似诈骗者泄露助记词的客户，应将该钱包视为已失陷，并将剩余资产转移到使用全新助记词生成的新钱包中。

Keystone正在继续调查，并计划在未来几天内发布详细的技术报告。该公司尚未披露任何表明此次泄露导致加密货币被盗的证据，也未确认完成客户通知的时间表。其即将发布的调查报告预计将提供有关此次入侵及受影响客户记录的更多细节。