硬體錢包製造商 Keystone 表示，上週入侵其網站的攻擊者還竊取了用於驗證其裝置真偽的金鑰，使這起最初僅披露為客戶資料外洩的事件範圍進一步擴大。

Keystone 週一在 X 上的聲明中警告，遭竊的認證金鑰可能使攻擊者能夠製造通過該公司真偽檢驗的偽造錢包。

Keystone 表示：「這些裝置隨後可能被出售或運送給客戶，客戶可能在不知情的情況下將其當作正品使用，進而導致資產被竊。」

硬體錢包的設計目的是將控制加密資產的私鑰保持在離線狀態，而真偽檢驗機制則用於在裝置設定前確認其為正品。由於驗證金鑰本身遭竊，如今被攻破的正是原本用於識別偽品的防線。

此次披露使 Keystone 加入今年鎖定硬體錢包製造商的一連串攻擊名單。本月稍早，Ledger 要求東南亞與香港的經銷商暫停銷售，因有報告指出該地區售出的裝置含有未經授權的植入元件，能夠擷取恢復片語。7 月下旬，Coldcard 製造商 Coinkite 向用戶發出警告，攻擊者利用一個漏洞使其裝置生成的錢包種子熵值低於預期，導致價值數百萬美元的加密貨幣被竊。

Keystone 將銷毀逾 18,000 台含有舊金鑰的裝置

根據 Keystone 的最新更新，攻擊者利用該公司網站所使用的第三方監控工具中的漏洞來提升權限。

該公司表示：「這使攻擊者得以取得部分客戶資訊，以及一枚用於驗證我們裝置真偽的金鑰。」

Keystone 表示，計劃銷毀庫存中含有受損金鑰的 18,835 台裝置，並已暫停所有使用該金鑰裝置的生產出貨。出貨將在該公司開始生產採用新認證金鑰的裝置後恢復。Keystone 尚未公布切換的時間表；該公司於週一透過其 X 帳號發布此更新。

該公司表示，10 月 20 日事件之前製造並交付的裝置應視為安全，其真偽檢驗結果仍然可信。不過，該公司無法保證該日期之後交付裝置的真偽，並呼籲受影響的客戶聯繫其支援團隊進行額外驗證。

Keystone 證實 25,964 筆買家紀錄外洩

Keystone 也披露了客戶資料外洩的規模，指出其網站的 Shopify 商店共產生 51,083 筆買家紀錄。其中 25,119 筆已依其 180 天資料保留政策刪除。

其餘 25,964 筆可追溯至 2024 年至 2026 年的紀錄可能已被攻擊者竊取。Keystone 將較舊紀錄未刪除歸因於其用於大量刪除資料的自動化工具發生故障。

Keystone 表示：「該工具運作不可靠。部分刪除任務失敗，我們未能及時偵測並處理這些故障，導致部分個人資訊的保留時間超過允許期限。」

攻擊者可能還存取了 Shopify 保留的 12,873 筆客戶結帳紀錄，即未完成購買的資訊。Keystone 表示，已聯繫 Shopify，要求刪除保留超過 30 天的結帳紀錄中的個人資訊。

硬體錢包遭駭的一年

週一的披露讓人聯想到 2020 年 6 月 Ledger 的資料外洩事件，該事件暴露了超過 100 萬個電子郵件地址，以及客戶姓名、電話號碼與實際地址。外洩的資訊引發了多年來針對受影響用戶的網路釣魚攻擊。

其他硬體錢包製造商今年也發生了涉及客戶資訊與第三方服務的資安事件。8 月，Trezor 披露其物流合作夥伴遭入侵，暴露客戶資訊，受影響用戶人數至 9 月擴大至超過 80,000 人。SafePal 也在 8 月通報一個訂單追蹤漏洞，暴露近 40,000 名客戶的資料，而 BitBox 則在 9 月成為一場涉及遭入侵第三方電子郵件供應商的網路釣魚攻擊目標。

Keystone 的事件正符合貫穿今年各起資安事件的第三方供應商風險：其攻擊者透過第三方監控工具入侵，正如 Trezor 的入侵事件可追溯至物流合作夥伴，以及 BitBox 的網路釣魚攻擊可追溯至遭入侵的電子郵件供應商。

來源：Cointelegraph