比特币硬件钱包制造商Keystone（其产品将控制用户加密货币的私钥离线保存）周一表示，在攻击者获取了用于验证其产品真伪的永久性工厂密钥后，公司将销毁18,835台未售出设备。该公司还暂停了其网站所有未发货订单的出货。

此次泄露于10月20日被发现，还波及Keystone Shopify商店的25,964条买家记录，时间跨度为2024年至2026年，包含姓名、联系方式和收货地址。Keystone表示，助记词和私钥并未涉及，10月20日之前交付的设备不受影响。

对买家而言，实际风险在于假冒钱包看起来崭新如初，并能通过Keystone自身的验证检测，因为攻击者获取的正是该检测所依赖的密钥。犯罪分子随后可能将此类设备出售给会存入真实资产的用户。

"如果该密钥泄露，攻击者可以利用它生产通过身份验证检测的假冒设备," Keystone在声明中表示。"这些设备随后可能被出售或发货给客户，客户可能在不知情的情况下将其当作正品使用，从而导致资产被盗。"

Keystone将被泄露的凭证称为WebAuth密钥，这是一段在工厂写入每台设备的秘密代码，公司网站上的页面可通过它确认硬件的真伪。该密钥无法擦除或重写，这也是库存中携带该密钥的18,835台设备将被销毁而非出售的原因——未来的设备必须围绕新密钥构建。

Keystone上周六首次表示，第三方获取了客户的收货信息。周一的声明补充了被盗密钥以及25,964条受影响买家记录的数量，但未说明责任人是谁，也未说明攻击者最初何时获得访问权限。

此次事件影响了Keystone Shopify商店（处理其线上销售的电子商务平台）的记录。Keystone表示，涉及51,083条买家记录，但其中25,119条的个人信息均已被删除，剩下25,964条2024至2026年间的记录仍包含姓名、联系方式、收货地址和订单信息。通过Amazon及其他渠道的购买不受影响。

部分数据本应早已被删除，这意味着泄露暴露的内容中有一部分是Keystone承诺要删除的记录。公司原政策是在180天后删除买家记录，但为此构建的自动批量删除工具运行不可靠。

"部分删除任务失败，我们未能及时发现并处理这些故障，导致某些个人信息被保留的时间超出了允许的期限," Keystone表示。"我们未能履行按时删除客户数据的承诺，我们为这一失误承担责任。"

客户名单是硬件钱包制造商反复出现的薄弱环节。Ledger 2020年的泄露最终涉及约292,000名客户，此后收到钓鱼邮件的客户担心自己可能成为入室抢劫的目标。Trezor和SafePal也分别在8月披露了客户数据泄露事件，分别影响13,689名客户和约39,798名客户。

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

姓名和地址之所以重要，是因为所谓的"扳手攻击"，即犯罪分子通过威胁或肢体暴力强迫持有人交出其加密货币。据Chainalysis统计，2026年上半年共发生46起暴力攻击，被盗金额超过3,000万美元。

该公司还警告称，有诈骗者提供"资产迁移"、"钱包验证"或"调查协助"等服务。

"我们绝不会要求您退回设备," 公司表示。"任何以'召回'为借口联系您并要求您将设备寄给他们的人，都应被视为诈骗者。"

Keystone网站的销售将转为预售，直至采用新密钥的设备生产完成。公司表示，已向欧盟、英国及其他司法辖区的监管机构提交了报告。

Keystone已将客户数据的保留期从180天缩短至90天，并于10月24日要求Shopify删除所有逾期买家数据，该流程有10天的等待期。公司预计删除工作将于11月3日完成，为受影响的客户提供了一个明确的时间节点。