Keystone销毁18,835个未售出硬件钱包：攻击者获取设备认证密钥引发信任危机
硬件钱包制造商Keystone宣布，将销毁18,835个未售出的设备。此举源于公司发现攻击者已获取用于验证产品真伪的加密凭证（即设备认证密钥）。此次泄露事件不仅暴露了25,964条购买记录和12,873条不完整的结账记录（包含个人及收货信息），更对硬件钱包的核心安全机制构成了严峻挑战。
事件详情与影响范围
根据Keystone在10月26日发布的安全更新，此次发现的漏洞大幅扩大了10月20日首次检测到的网站入侵事件的后果。虽然Keystone强调用户的私钥和助记词未受影响，交易签名功能也未受损，但核心安全问题已不再局限于客户隐私泄露。
一旦假冒的硬件钱包能够通过验证流程，买家在转移加密货币前建立的信任基础将被彻底瓦解。攻击者利用窃取的WebAuth设备认证密钥，可能使仿冒设备通过官方验证工具的检验，从而误导用户。
为何无法简单替换被盗密钥？
被泄露的凭证是嵌入在Keystone硬件钱包制造过程中的WebAuth设备认证密钥，其目的是支持密码学真实性检查。官方验证工具要求用户扫描二维码、输入设备上显示的代码并检查生成的验证响应。
拥有该受损凭证的攻击者可能在假冒硬件上重现有效的验证响应。这与窃取钱包私钥不同：WebAuth凭证不用于生成助记词或授权加密货币交易。然而，对于购买恶意替代设备的用户而言，这种区别提供的安全感非常有限。如果假冒硬件成功冒充真实钱包，攻击者可能会针对用户的助记词，或在设置过程中操纵设备行为。
Keystone表示，一旦该认证密钥嵌入硬件，便无法擦除或重写。因此，公司决定销毁含有旧密钥的剩余库存，而不是分发那些无法提供预期安全保障的设备。生产将切换至新的替代凭证，未发货订单暂时暂停。在新库存到位之前，新购买仍需以预售形式进行。
这一决定也是对Keystone供应链控制能力的实际测试：新密钥必须在制造、分发和验证的全过程中得到保护，而不仅仅是安全地生成。
客户记录泄露：另一重控制失效
Keystone的调查在其基于Shopify的商店中识别出51,083条购买记录。其中25,119条记录中的个人信息已被删除，剩余25,964条记录包含客户详细信息。另有12,873条不完整的结账记录受到影响。
泄露的信息包括姓名、联系方式、收货地址和订单历史。这两类受影响的记录总计38,837条，尽管部分个人可能同时出现在两类记录中。
Keystone将初始网站入侵归咎于一个涉及第三方数据监控工具的漏洞。公司在检测到事件后禁用了敏感的网站功能并阻止了未经授权的访问。调查还发现了数据删除程序中的缺陷。Keystone此前曾推行一项政策，即在180天后删除收货信息，但由于自动化删除请求未按预期完成，一些较旧的记录仍可访问。这导致用户在收到超过六个月前的购买通知时已对该政策提出质疑。
Keystone表示，已将保留期缩短至90天，并向Shopify提交请求以移除超期的购买信息。预计这些删除操作将在11月3日前完成（具体取决于Shopify的处理要求）。
此次泄露带来了特别敏感的钓鱼风险。掌握准确订单历史和配送地址的犯罪分子，比依赖通用消息的攻击者更能令人信服地冒充钱包制造商。引用真实购买的欺诈性替代优惠可能会引导客户走向假冒设备或索取助记词的网站。
哪些Keystone客户需要额外验证？
Keystone区分了10月20日（入侵检测日期）前后交付的设备。公司的指导原则并不要求所有现有所有者更换钱包或转移加密货币，但交付日期和设备认证状态变得至关重要。
- 10月20日之前交付： Keyston表示，通过认证的当前评估下仍可使用。客户应继续遵循正常的助记词和固件安全实践。
- 10月20日或之后交付： 持有包含旧认证密钥设备的用户，在依赖设备前应通过官方支持渠道联系Keystone进行额外验证。
- 已订购但未发货： Keystone已暂停 outstanding shipments，等待配备新密钥的设备投入生产。
此外，Keystone警告称，攻击者可能会通过电子邮件、电话、短信或实体邮件冒充其员工。用户应独立导航至公司网站，而不是遵循意外通知中的链接。对于任何要求返还钱包、提供助记词或转移加密货币的索然无味的消息，都应视为可疑。Keystone表示并未开展消费者设备召回活动。
客户可以访问官方的Keystone验证页面，但对于最近交付且使用受损密钥的设备，仅凭成功的验证结果可能不足够。Keystone计划推出工具，允许客户检查其个人信息是否泄露以及删除请求是否已完成。
对于现有所有者而言，网站入侵并不意味着其加密货币已被盗或必须更换助记词。更直接的风险在于假冒设备的分发和有针对性的社会工程学攻击。Keystone的库存销毁措施解决了第一个问题。恢复对其认证过程的信心，将取决于新凭证的安全性及其未来使用的控制措施。
