硬體錢包製造商Keystone在Nexus應用程式部分服務因網路攻擊中斷後，呼籲用戶將應用程式更新至1.3.7版本。該公司於11月6日星期五宣布，這是其在約兩週內發布的第三次安全事件公告，此前其線上商店發生客戶資料外洩，且用於驗證裝置真偽的金鑰遭竊。

Nexus應用程式攻擊與v1.3.7修復

Keystone在X上發文表示，部分Nexus App服務在網路攻擊中遭入侵，導致部分用戶在一段時間內無法使用該應用程式。公司表示其團隊已對事件作出回應並強化了伺服器安全。Keystone的公告並未詳細說明受影響的服務，也未歸責攻擊來源。

經過調查後，Keystone表示「未發現任何證據顯示用戶資產或個人資訊受影響」。該公司為服務中斷致歉，並指示用戶將應用程式更新至v1.3.7。公司還建議用戶確認所下載的應用程式開發者欄位列為「Yanssie HK Limited」，並補充說明未列該開發者的應用程式並非出自Keystone。

外洩25,964筆買家紀錄的商店入侵事件

首次公告涉及入侵者進入Keystone由Shopify支援的線上商店。根據Cryptopolitan先前的報導，未經授權的存取於10月20日被偵測到，10月23日公司確認第三方已取得客戶出貨資料，並於隔日公開此訊息。

遭竊紀錄包含姓名、聯絡資訊、出貨地址及訂單資訊，包括買家購買了哪些裝置。公司表示，付款卡、銀行資料、助記詞及私鑰並未外洩。

據報導，外洩資料中包含2024年至2026年間購買紀錄的25,964筆買家資料。Keystone還基於預防措施統計了12,873筆未完成結帳的紀錄。

由於住家地址是外洩內容的一部分，安全研究員Taylor Monahan指出，這可能使持有人面臨「扳手攻擊」的風險——即以人身威脅強迫持有者交出加密貨幣。加密貨幣安全平台Certik統計，2026年上半年共發生52起此類攻擊，前一年則記錄了39起。

18,835個錢包將被銷毀

在披露用戶紀錄遭竊數天後，Keystone再次成為新聞焦點，因為該公司表示，第一次攻擊的同一攻擊者還竊取了其裝置用於證明真偽的WebAuth金鑰。據報導，攻擊者利用公司網站上第三方監控工具的漏洞提升權限，隨後同時竊取客戶資料與該金鑰。

問題的重大之處在於，該金鑰在製造過程中被燒錄進每個裝置且無法重寫。任何持有該金鑰的人都可以製造通過Keystone自身真偽驗證的假裝置。作為回應，Keystone決定報廢所有18,835個載有受損金鑰的未售出裝置。

公司表示，10月20日之前交付且通過驗證的錢包為正品。對於該日期之後收到、搭載舊金鑰的裝置，公司「無法完全排除其為仿冒品的可能性」，並指示這些用戶在使用前聯絡客服。目前為止尚未接獲任何仿冒裝置或失竊的通報。

刪除工具失效後，保存期限縮短至90天

Keystone此前宣稱會在訂單後180天清除出貨資料，但客戶反映收到超過兩年前購買紀錄的資料外洩通知，如Cryptopolitan所報導。該公司的自動清除工具失效，導致舊紀錄仍保留在系統中。

Keystone隨後將保存期限縮短至90天，並要求Shopify刪除更早的個人資料，逾期紀錄預計於11月3日前清除。競爭對手OneKey也在Keystone事件後，將自身資料保存期限上限設為30天。

2026年加密貨幣專案在網路攻擊方面處境艱難，硬體錢包供應商也未能倖免。8月，Trezor物流合作夥伴ShipMonk發生資料外洩，影響約81,000名客戶。SafePal因訂單追蹤漏洞外洩約39,798名用戶資料，Ledger則發現轉售裝置內藏有隱藏晶片，鏈上研究人員將相關損失歸因於超過8,600萬美元。Keystone自身兩週內的一連串公告正反映了此一態勢，事件涵蓋其線上商店、網站工具、未售出裝置庫存以及應用程式服務。