Keystone 硬件钱包数据泄露事件解析
Crypto 硬件钱包制造商 Keystone 确认，其客户发货数据（包括姓名、联系方式和地址）遭未经授权的第三方访问。Keystone 表示已阻断访问权限、修复漏洞，并向受影响客户发送电子邮件通知，但未披露具体受影响人数。
安全研究员 Taylor Monahan 警告称，泄露的地址信息可能使加密货币持有者面临人身攻击和绑架的风险。CertiK 记录显示，2026 年上半年全球发生了 52 起经核实的“扳手攻击”（Wrench Attacks），较上年同期增长 33%。
部分购买设备超过两年的客户收到了 breach 通知，这引发了外界对 Keystone 180 天数据删除政策的质疑。
事件经过与官方回应
Keystone 披露了一起安全漏洞事件，导致客户发货信息外泄。该公司在 X 平台发布帖子向用户致歉：
我们欠您一个道歉。
— Keystone Hardware Wallet (@KeystoneWallet) 2026年10月24日
10 月 20 日，我们检测到对其官方网站的未授权访问。在与 Shopify 核实 API 活动后，我们于 10 月 23 日确认第三方获取了客户发货信息。您信任我们将这些细节交予我们保管，对此我们深感抱歉……
Keystone 指出，公司在本周早些时候发现了可疑活动。周五，在与 Shopify 审查 API 活动后，确认未经授权的一方已访问客户数据。
泄露的信息包括姓名、联系方式、收货地址以及订单详情（如购买商品和支付价格）。Keystone 声明：“我们已阻断访问、修复漏洞、展开调查，并正在向受影响客户发送邮件。”但公司并未说明有多少客户受到影响。
公司在声明中写道：“我们欠您一个道歉。您信任我们将这些细节交予我们保管，很抱歉我们未能妥善保护它们。”
研究人员警告：物理攻击风险高于网络钓鱼
Keystone 警告称，泄露的数据可能被用于针对性的网络钓鱼攻击。然而，安全研究员 Taylor Monahan 提出了不同的担忧。
Monahan 指出，泄露收货地址的真正危险并非网络钓鱼，而是人身袭击和绑架。攻击者可以利用这些数据定位钱包持有者的居住地。
再次提醒那些硬件钱包用户，当人们 SHIPPING INFORMATION（发货信息）泄露时，真正显现的风险不是网络钓鱼。是 fucking PHYSICAL ASSAULTS AND KIDNAPPINGS（人身袭击和绑架）。
— Tay 💖 (@tayvano_) 2026年10月24日
这类犯罪通常被称为“扳手攻击”，涉及使用威胁或暴力手段迫使加密货币持有者交出资产。
区块链安全公司 CertiK 记录显示，2026 年上半年全球共发生 52 起经核实的扳手攻击，较去年同期的 39 起增长了 33%。AMBCrypto 报道，截至 2026 年，全球 31 个国家已发生 122 起与加密货币相关的物理攻击，其中法国为主要热点地区。Chainalysis 估计，截至 8 月，此类攻击造成的损失超过 1 亿美元。
此次 Keystone 泄露事件紧随行业内的其他安全问题之后，包括价值超过 1 亿美元的 Ledger 供应链攻击、1.16 亿美元的 Coldcard 漏洞利用，以及 8 月份发生的 Trezor 数据泄露事件。
Foundation wallet 创始人 Zach Herbert 表示，他“基本同意”“硬件钱包已死”的观点。他认为解决方案是一个超安全的开放架构硬件安全平台。
关于 Keystone 数据保留政策的疑问
此次泄露事件也引发了人们对 Keystone 保留客户数据时长的质疑。在 2023 年的一篇博客文章中，该公司曾表示已将数据保留期缩短至 180 天。
然而，一些客户表示，他们收到的泄露通知涉及购买超过两年前的设备。这表明某些旧订单记录可能未按承诺被删除。
一位名为“OG DEGEN”的 X 用户称，一名冒充执法人员的骗子致电其处理一起欺诈案件。该用户认为来电者是从 2024 年的 Keystone 订单中获取了其详细信息。
“我认为他们的计划是说服我我的私钥已泄露，然后发送一个网络钓鱼链接来重置它们，”该用户写道。
另一位 X 用户 trintaetres 也表示，尽管他在两年前购买了设备，但仍收到了电子邮件通知。
Cointelegraph 曾向 Keystone 询问较早购买的订单数据是如何泄露的，以及有多少客户受到影响。截至发稿时，该公司尚未作出回应。
