加密貨幣硬體錢包製造商 Keystone 披露一起網站安全漏洞事件，攻擊者藉此存取了客戶資訊，引發外界對針對性詐騙及人身攻擊的憂慮。

Keystone 於週六表示，公司在本週初偵測到可疑活動，並在與 Shopify 核對 API 活動後，於週五確認一個未經授權的第三方曾存取客戶的配送資訊。外洩資料包括姓名、聯絡方式、配送地址及其他訂單詳情，例如所購買的商品。

「我們已封鎖存取、修復漏洞、展開調查，並正在寄送電郵通知受影響的客戶，」該公司在一份 X 聲明中表示。

Keystone 警告，外洩的資訊可能被用於針對性釣魚攻擊。安全研究員 Taylor Monahan 進一步提出憂慮，指出外洩的配送地址可能令客戶面臨人身攻擊及綁架風險。這次事件凸顯了硬體錢包用戶特有的隱患：設備本身的設計是將私鑰離線保存，但製造商持有的客戶資料卻可能被用來對付持有錢包的人。

此次披露正值所謂「扳手攻擊」上升之際——這類罪行透過人身威脅或暴力，迫使加密貨幣持有人交出資產。區塊鏈安全公司 CertiK 記錄到，2026 年上半年全球共錄得 52 宗經核實的扳手攻擊，較去年同期的 39 宗上升 33%。

「我們再次向所有受影響的人致上誠摯的歉意，」Keystone 表示。該公司並未透露有多少客戶受到影響。

Keystone 因承諾刪除客戶資料而受到質疑

這次入侵事件也引發外界對 Keystone 處理舊客戶資料方式的質疑。該公司在一份2023 年的網誌文章中表示，在其他硬體錢包製造商發生安全事故後，已將客戶資料保留期縮短至 180 天。

然而，一些客戶表示，儘管他們在兩年多前已購買設備，仍然收到了外洩通知，這引發了外界對 Keystone 保留了哪些資訊的疑問，以及這些通知是否意味著較舊的訂單紀錄並未如承諾般被刪除。

一位化名「OG DEGEN」的 X 用戶表示，接到一通詐騙電話，對方自稱是正在調查詐騙案的執法人員。根據來電提及的個人資訊，該用戶懷疑資料是透過 2024 年的一筆 Keystone 訂單取得。

「我認為他們的計劃是說服我，讓我相信我的私鑰已經外洩，然後寄給我一個釣魚連結，聲稱可以重設私鑰，」該用戶在 X 上寫道。這種結合冒充身分、製造緊迫感以及提供「修復」外洩私鑰連結的手法，是一種常見的釣魚結構，目的是誘使用戶在攻擊者控制的網站上輸入恢復詞組——即一套可以在任何地方還原硬體錢包內容的詞彙。

另一位 X 用戶 trintaetres 也表示，儘管他們在兩年多前購買設備，仍收到了電郵通知。

Cointelegraph 就「在其先前公布保留政策下，超過 180 天前的購買客戶資訊為何會外洩，以及有多少客戶受影響」向 Keystone 查詢。該公司在截稿前未予回應。隨著調查仍在進行中，受影響客戶及觀察者接下來關注的，將是 Keystone 是否會解釋為何 180 天期限以外的紀錄似乎仍被保留，以及有多少人受到影響。