硬體錢包製造商Keystone證實發生客戶資料外洩事件，一名未經授權的第三方存取其網站後，客戶姓名、聯絡資訊、配送地址與購買紀錄因而曝光。

該公司於2026年10月20日偵測到可疑活動，並在檢視Shopify API活動後，於10月23日確認資料遭竊。外洩紀錄包含客戶購買的產品及其價格——這些細節可用於識別硬體錢包持有者及其實際地址。由於硬體錢包是將控制加密貨幣持倉的私鑰離線保存，將特定設備與住家地址連結的紀錄即使設備本身未遭入侵，仍被視為敏感資訊。

Keystone於10月24日透過在X上的聲明公開此事件，並確認支付卡資料、銀行資訊、恢復短語、私鑰與錢包密碼均未外洩。

該製造商隨後已封鎖未經授權的存取、修補漏洞，並開始以電子郵件通知受影響的客戶。該公司尚未說明有多少客戶受影響，以及攻擊者如何取得這些資訊。

Shopify API活動曝光購買紀錄

Keystone的調查將未經授權的存取追查至支援其網站的電子商務基礎架構，而非其硬體錢包設備遭入侵。外洩資料將客戶身分與配送地址結合具體購買歷史，為攻擊者利用真實交易細節冒充該製造商創造機會。

攻擊者在試圖透過詐騙電話、電子郵件或訊息套取更多資訊時，可能引用客戶的實際訂單、購買的設備或配送地址。Keystone警告，詐騙者可能提供退款、更換硬體錢包或協助解決所謂配送問題，此類接觸可能透過電子郵件、簡訊、電話或實體郵件進行。

該公司尚未查明攻擊者身分、確認遭竊紀錄數量，或透露入侵是涉及遭洩露的API憑證、應用程式漏洞還是其他存取方式。Shopify參與API調查並不代表Shopify的整體基礎架構已遭入侵。

錢包製造商外洩事件的最新一起

此事件是加密貨幣錢包製造商及其電子商務合作夥伴一系列類似外洩事件中的最新一起。

9月，Trezor擴大對ShipMonk資料外洩事件的調查，發現約有67,000名美國客戶的個人資訊額外曝光。受影響紀錄包含姓名、電話號碼、電子郵件地址、配送詳情以及可追溯至2019年的訂單歷史，使最初涉及13,689名客戶的事件範圍大幅擴大。

8月，SafePal披露一項訂單追漏洞，導致39,798名客戶的個人與購買資訊曝光。該公司將事件追查至用於存取貨運資訊的外掛程式中的授權缺陷。

1月，電子商務合作夥伴Global-e遭入侵後，Ledger客戶面臨針對性釣魚攻擊，詐騙訊息利用透過該第三方供應商外洩的客戶資料流傳——這與Keystone目前提醒自家客戶防範的後續詐騙手法如出一轍。

儘管技術原因與受影響的基礎架構各有不同，每起事件都涉及商業或履約系統所持有的客戶資訊。

警告防範假替換設備

Keystone敦促客戶避免點擊預期外通訊中的連結，並在尋求支援時直接造訪其官方網站。該製造商特別警告，切勿將恢復短語輸入未經索取而收到的替換設備，也不要與任何自稱代表其客戶服務團隊的人士分享私鑰。

已向疑似詐騙者透露恢復短語的客戶，應將該錢包視為已遭入侵，並將剩餘資產轉移至以全新恢復短語生成的新錢包。

Keystone正在繼續調查，並計劃在未來幾天內發布詳細的技術報告。該公司尚未披露任何因此次外洩事件導致加密貨幣失竊的證據，也未確認完成客戶通知的時間表。其即將發布的調查報告預計將提供有關入侵事件與受影響客戶紀錄的更多細節。