Keystone 硬件钱包已确认，其官方网站遭未授权访问，导致客户姓名、联系方式、收货地址及订单信息泄露。公司在经过数日审查后于周六披露了此次数据泄露事件，并表示支付信息及所有与钱包相关的安全凭证均未受到影响。

此次未授权访问发生于10月20日。据 Keystone 介绍，公司发现可疑活动后，与电商平台 Shopify 一起审查了 API 活动。至10月23日，Keystone 已确认第三方获取了客户数据。随后，公司封堵了未授权访问并修复了相关漏洞。

区块链媒体 Wu Blockchain 在 X 上发布了这一确认消息：

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access

Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

泄露了哪些数据

根据公司披露，泄露的信息包括客户姓名、联系方式和收货地址，以及所购商品和价格等订单详情。Keystone 表示，支付卡和银行信息未受影响，钱包密码、私钥和助记词也未受波及。这些凭证是自主托管场景下最终控制资金访问权限的关键，这也是此次披露明确区分订单记录与钱包安全的原因。

公司尚未披露受影响客户的数量，也未具体说明未授权访问是如何发生的。Keystone 已启动调查，并称调查是全面深入的，目前正在通过电子邮件通知受影响客户。

针对客户的诈骗警告

Keystone 警告称，诈骗者可能利用此次事件冒充公司工作人员，声称可提供退款、更换设备或协助处理订单和收货地址。公司敦促客户避免点击意外收到的链接，并重申其绝不会索要助记词或私钥。公司还建议客户切勿在非本人订购的设备中输入助记词。由于泄露的记录显示了订购设备的具体人员及收货地点，相关警告将此次事件主要定性为针对客户的定向风险，而非对所存资金的直接威胁。

在官方确认的前一天，一位名为 OG Degen 的 X 用户称，其接到一个来自伪造的蒙特利尔 SPVM 号码的电话，来电者试图对其进行社会工程攻击。币安创始人 CZ 也在 X 上就此次泄露事件发表了评论。

关于 Keystone

Keystone 是一家总部位于香港的钱包品牌，以其隔空（air-gapped）、基于二维码的交易签名方式著称，该设计使私钥无需 USB、蓝牙或 Wi-Fi 连接即可保持离线状态。公司从专注于比特币起家，发展为多链钱包，目前通过 MetaMask、Solflare、Keplr、Rabby 和 OKX Wallet 等软件钱包集成，支持以太坊（Ethereum）、Solana、Polkadot 和 Cosmos。

2026年硬件钱包行业安全事件

Keystone 的此次披露是2026年硬件钱包厂商一系列安全问题中的最新一例。Trezor 于8月披露其物流服务商 ShipMonk 发生客户数据泄露。Ledger 本月早些时候证实，犯罪分子篡改正品钱包以窃取助记词，并通过东南亚经销商转售。Coldcard 曾遭遇涉及弱种子生成的漏洞，Safepal 也披露了客户信息泄露事件。总体来看，这些事件表明，与订购和履约相关的客户记录——从电商店面到物流合作伙伴——已成为硬件钱包厂商今年反复出现的暴露点。

后续进展

Keystone 表示，计划在未来几天内发布有关其调查的详细报告。公司于周六美国东部时间下午1:59在 X 上发布了初步披露声明。在此之前，受影响客户可预期收到电子邮件通知，公司仍建议客户将主动联系——尤其是任何助记词的请求——视为危险信号。

来源：CoinCentral