硬件钱包制造商 Keystone 已敦促用户将其 Nexus 应用更新至 1.3.7 版本，此前一场网络攻击干扰了该应用的部分服务。公司于 11 月 6 日（星期五）公告此事，这是其在约两周内发布的第三次安全披露，此前其线上商店发生客户数据泄露，且一枚用于验证设备真伪的密钥被盗。

Nexus 应用遭攻击与 v1.3.7 修复

Keystone 在发布于 X 的帖子中表示，部分 Nexus 应用服务在网络攻击中被攻破，若干用户在一段时间内无法运行该应用。公司表示其团队已作出响应并加强了服务器安全。Keystone 的公告未详细说明哪些服务受到影响，也未指认攻击者。

经调查后，Keystone 写道，其“未发现任何用户资产或个人信息受到影响的证据”。公司为服务中断致歉，并引导用户将应用更新至 v1.3.7。公司还建议用户确认所下载应用的开发商为“Yanssie HK Limited”，并表示未列出该开发商的应用并非出自 Keystone。

一场暴露 25,964 条买家记录的商店泄露

首次披露涉及一名入侵者进入了 Keystone 由 Shopify 支持的线上商店。据 Cryptopolitan 此前报道，未经授权的访问于 10 月 20 日被发现，10 月 23 日公司确认第三方已获取客户收货数据，并于次日公开该信息。

被盗记录包含姓名、联系方式、收货地址以及订单信息，包括买家购买了哪些设备。公司表示，支付卡、银行信息、助记词和私钥均未暴露。

据报道，被盗数据中包含 25,964 条来自 2024 年至 2026 年间购买的买家记录。Keystone 还出于预防目的统计了 12,873 条未支付结账记录。

由于家庭住址是泄露内容的一部分，安全研究员 Taylor Monahan 指出，这可能使持有人面临“扳手攻击”的风险——即通过人身威胁强迫持有人交出加密货币。加密安全平台 Certik 统计，2026 年上半年共发生 52 起此类攻击，而上一年为 39 起。

18,835 台钱包将被销毁

在披露用户记录被盗数天后，Keystone 再次成为新闻焦点：公司表示，应对首次泄露事件负责的同一攻击者还窃取了其设备用于证明自身真伪的 WebAuth 密钥。据报道，攻击者利用公司网站上第三方监控工具的一个漏洞提升权限，随后同时窃取了客户数据和该密钥。

问题的严重性在于，该密钥在生产过程中被烧录进每台设备，且无法改写。持有该密钥的任何人都可以制造一台通过 Keystone 自身真伪校验的假设备。为此，Keystone 决定销毁所有携带受影响密钥的 18,835 台未售出设备。

公司表示，10 月 20 日之前交付且通过校验的钱包为正品。对于该日期之后收到、搭载旧密钥的设备，公司“不能完全排除其为仿品的可能性”，并告知这些用户在使用前联系客服。迄今公司尚未报告任何仿冒设备或失窃事件。

删除工具失效后，数据保留期缩短至 90 天

Keystone 曾宣传订单完成后 180 天即清除收货数据，但客户报告收到涉及两年以上前购买的泄露通知，正如 Cryptopolitan 所报道。公司的自动删除工具失效，导致旧记录依然留存。

随后，Keystone 将数据保留期限缩短至 90 天，并要求 Shopify 删除超期的个人数据，预计逾期记录将于 11 月 3 日前删除完毕。在 Keystone 事件之后，竞争对手 OneKey 也将自身的数据保留期限限制在 30 天。

2026 年，众多加密项目在网络攻击方面境况艰难，硬件钱包厂商也未能幸免。8 月，Trezor 物流合作伙伴之一 ShipMonk 发生的数据泄露影响了约 81,000 名客户。SafePal 因订单追踪漏洞暴露了约 39,798 名用户的信息，Ledger 则在转售设备中发现隐藏芯片，链上研究人员将其与超过 8,600 万美元的损失联系起来。Keystone 自身两周内的连续披露也反映出这一范围之广，事件波及其店面、网站工具、未售出设备库存及其应用服务。