Keystone硬件钱包确认，其官方网站遭未经授权访问，导致客户姓名、电子邮箱、电话号码、收货地址及购买记录泄露。据该硬件钱包制造商10月24日的披露，此次入侵于2026年10月20日被发现，并在对Shopify应用程序接口活动进行审查后，于10月23日（三天后）得到确认。

在此次披露中，公司表示一名未经授权的第三方获取了订单信息。Keystone已阻止该访问、修复已发现的漏洞并展开调查。公司尚未查明攻击者身份，受影响客户数量也未公开。公告中未提供受影响交易的数量统计。

加密行业新闻账号Wu Blockchain在X上分享了该披露信息：

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

订单记录泄露，钱包凭据未受影响

此次事件泄露的是与加密货币存储设备购买相关的记录，而非钱包内保存的信息。被泄露的记录列出了客户购买的产品及支付的价格，以及客户身份和送货地点。因此，受影响的信息将设备购买与可识别的客户联系起来，但未报告任何钱包凭据泄露事件。

由于硬件钱包是必须邮寄的实体商品，其制造商持有的零售记录类型与任何电子商务商家相同——这是市场的一种结构性特征，无论设备本身的安全程度如何，客户身份数据都会存在于店铺系统中。

Keystone表示，支付卡号、银行账户信息、钱包密码、私钥和助记词均未泄露。其钱包采用离线交易签名方式，通过二维码进行通信，而非直接连接联网设备。

Shopify基础设施留下未解之谜

根据该公司的隐私政策，Shopify运营该制造商的线上商店并处理其订单信息。该政策还规定，当客户未再次下单时，记录将在180天后被删除。该删除条款并未说明此次泄露包含哪些历史购买记录，披露中也未具体说明受影响的购买日期。

此次披露同样未能确定未经授权访问持续了多长时间。调查人员尚未公开将此次入侵归因于任何一方，也未说明进入网站的具体方法。受影响客户正通过电子邮件获得通知，公司表示将随后发布更完整的事件报告，但未提供发布日期。

针对客户的钓鱼攻击警告

尽管对钱包安全作出保证，Keystone仍提醒客户警惕虚假退款提议、更换设备骗局以及声称提供订单协助的信息。此类接触可能通过电子邮件、电话或短信出现。每一种方式都涉及客户订单或设备相关的说法——正是泄露记录中包含的信息类别。公司建议客户不要分享助记词或私钥，不要将助记词输入意外的更换设备，也不要点击可疑链接。公司敦促客户通过其官方渠道核实所有通信。

硬件钱包销售商数据泄露的普遍模式

此次泄露加入了一系列涉及硬件钱包销售商的客户数据事件。8月，Trezor披露其物流服务商ShipMonk发生数据泄露，随后确认另有约67,000名美国客户受影响。SafePal也披露了订单追踪授权漏洞，影响39,798名客户，其中个人及购买记录被泄露，但钱包凭据未受到直接威胁。

综合来看，这些事件涵盖了零售链的不同层面——Keystone的店铺平台、Trezor的物流服务商以及SafePal的订单追踪功能。事件中，泄露的信息都位于订单或履约系统中，而非钱包签名机制。Keystone尚未公开披露其受影响客户数量、根本的访问方式或暴露时间窗口。公司承诺的更完整事件报告（未给出日期）是获取这些答案的既定途径。