硬件钱包能可靠保护你的密钥，但无法保护你的家庭住址
想要同时实现这两者的保护，简短的答案是：将设备寄送到包裹柜、邮局网点或其他取货点，或者在实体店柜台购买。这样，你的名字只会出现在零售商的订单数据库中，与一个柜子编号或店铺地址关联，而不是与你的家门地址绑定。
十月份发生的事件表明，这种风险并非出于过度谨慎。在短短几个月内，多家托管服务提供商承认客户数据泄露。值得注意的是，这些泄露从未涉及私钥或资产余额。每一次泄露的都是姓名、电话号码和配送地址，而这些信息足以让外界确认这些人持有加密货币资产。
为什么密钥安全，而地址却会泄露？
硬件钱包是一种小型设备，它生成你的私钥且永远不会将其导出。恢复短语（通常由12或24个单词组成，可从中重新计算所有密钥）是在设备上生成的，在正常使用中不会离开设备。当你批准转账时，密钥保留在设备内部；只有完成并签名的交易才会传输到计算机。你购买设备的零售商对此一无所知，因为从技术上讲，他们根本不参与这一过程。
这里有一个令人安心的事实和一个令人不安的事实。令人安心的是：制造商网络商店的入侵无法触及你的资产余额。如果你的比特币在这些设备上存放多年，商店的数据事故对你没有任何影响，无需转移或重新设置。令人不安的是：网络商店本身就是一个普通的在线零售商，拥有普通的客户数据库。它保存着名字、姓氏、街道、门牌号、城市、国家，通常还有电话号码、电子邮件地址以及订购物品清单和价格。
这种组合构成了问题所在。从家具店窃取的地址列表显示某人买了一张沙发；从钱包制造商商店窃取的地址列表则显示某人在家中持有加密资产、该型号的价格昂贵程度，从而推断出其投入的重视程度。这份数据集对于攻击者来说，原本需要费力组装，现在却是一份现成的精选名单。
Keystone 和 Trezor：数据在订单链条中的位置
Keystone 表示于10月20日注意到该事件，并在10月23日与其商店提供商 Shopify 核实后确认，第三方获取了客户的配送信息。该公司于10月24日公开此事并致歉。据该公司称，受影响的数据包括姓名、联系方式、配送地址以及订单详情（直至物品和价格）。支付卡数据、银行详细信息、恢复短语、私钥和钱包密码并未泄露。截至发稿，Keystone 尚未公布有多少客户受到影响。关于此案的细节请参阅我们关于 Keystone 数。
Trezor 的泄露情况发生在更外层。制造商于8月13日宣布，其物流提供商 ShipMonk 报告遭到未经授权的访问，导致13,689名客户的数据暴露。其中11,742人的姓名、配送地址、电话号码和电子邮件地址受到波及，另有1,947人至少姓名、城市和电子邮件地址泄露。受影响的订单发货时间介于5月10日至8月8日之间，目的地包括美国、英国、瑞典、意大利和葡萄牙等。更为棘手的情况出现在9月初：被盗文件还包含2019年至2021年早期合作期间的旧订单数据，仅在美国就有约67,000条额外记录。根据 Trezor 的说法，这些数据本应在合同规定下早已删除。受影响者可采取的措施详见我们对 Trezor 泄露事件的报道。
两次事件的共同发现是：设备和制造商自己的系统均未受损。泄露的是承载订单从输入表单到前门的整个链条。
平台、仓库提供商和分析工具：谁站在制造商与信箱之间
在线订购设备时，你只与一家公司建立业务关系。然而，你的数据会经过多个环节。首先是商店运行的平台；Keystone 在此提到 Shopify，而 Shopify 早在2020年就处于此类最大案例的中心。当时，约27.2万名 Ledger 客户的姓名、电子邮件地址、邮政地址和电话号码被发布（该公司后来更正为约29.2万人，因为 Shopify 报告了更多受害者）。数据于2020年12月在黑客论坛上出现，连同超过一百万个电子邮件地址。当时同样没有涉及密钥或余额，但这对 concerned 的人帮助甚微：至少有一名买家在收到威胁后搬了家。
接下来是包装货物并移交的仓库和运输提供商。他们需要完整的地址，否则无法投递。在 ShipMonk 的案例中，据贸易媒体 BleepingComputer 看到的通知函显示，第三层因素介入：攻击者利用了分析工具 Metabase 的弱点，这是提供商用于自身统计数据的软件。硬件钱包的买家从未听说过该软件，但其数据却在它的掌控范围内。
因此，模式很容易描述。订单与信箱之间的链条越长，持有相同地址的地方就越多，你与最终丢失数据的公司之间的合同也就越多。没有任何制造商能保证链条中的每个环节都完美无缺。但是，你可以确保流经链条的地址不是你睡觉的地方。
四种订购方式，每种向零售商透露的信息不同
这四种路线对设备本身的成本相同。区别仅在于最后留下的数据集。第一种通过取货站，第二种通过快递公司的分支机构，第三种通过在商店购买，第四种则无需物理设备。在德国，这四种方式都 readily available，且都不需要你向零售商隐瞒身份或提供虚假信息。这样做既没有必要也不明智，因为保修和退货取决于正确数据的有效性。
包裹柜：无需提供家庭地址
最直接的方式是取货站。在 DHL 称为 Packstation，其他承运商也以类似原则运营取货点：你获得一个客户编号，将站点编号作为配送目的地输入，并在方便时取件。此时，零售商的数据库中将保存你的名字、一个邮政编号以及位于超市停车场的机器地址。攻击者即使获得该列表，知道你购买了硬件钱包，也不知道你住在哪里。
收件人无需支付附加费，注册通过承运商的客户账户进行。但有两点限制。首先，你的真实地址仍然存储在承运商处，因为客户账户知道它；你只是将其从多处集中到了一处。其次，取货站有隔间尺寸和存储期限的限制，但对于香烟盒大小的设备来说，这通常不是问题。
分支交付和邮局：无需在承运商处开户的路线
如果你不想在任何地方注册，可以将包裹发送到分支机构。此时的配送地址是分支机构的地址加上你的名字，你凭身份证件领取。零售商处的数据集看起来与取货站一样无害，且你不需要额外的账户。代价是营业时间有限以及偶尔需要排队。
德国常忽略的一种变体是：许多承运商允许在事后将货物重定向至分支机构，只要它仍在运输途中。但这作用有限，因为届时零售商早已存储了你的家庭地址。就本目的而言，重要的是下单时地址字段中输入的内容。
在商店购买：完全不产生配送数据
最干净的方式是最古老的方式。在电子市场或专业加密货币零售商处柜台购买设备并现金支付，由于没有配送发生，因此不留配送地址。然而，这需要做出第二个权衡，多年来一直存在争议：货架上的设备是否可能被篡改。
制造商通过任何人都可以检查的程序来回应这一点。信誉良好的设备在首次启动时会检查其软件是否正宗，并要求你在设备上自行生成恢复短语。任何在附带纸条上展示预成恢复短语的设备都应被丢弃，无论它来自商店还是包裹。在首次设置时认真对待这一检查，在商店购买不会带来额外危险，同时为你节省了一个数据集。
软件钱包：无需运输但需承担安全风险
第四条路线完全绕过包裹。手机或电脑上的软件钱包是下载的，而非交付的，因此不产生运输数据。对于小额资金、初步步骤和用于日常支付的余额，这是一个可接受的解决方案。
要保持比较的诚实性，必须考虑其另一面。那里的密钥位于一个在线、打开文件并运行扩展程序的设备上。过去几个月，资产正是通过这些扩展程序消失的。因此，在这两种形式之间的选择不是在安全与不安全之间，而是在两种不同的风险之间：使用交付的设备，你面临地址泄露的风险；使用下载的应用程序，你面临计算机被入侵的风险。持有较大金额的人通常会接受第一种风险，并通过订购路线将其缩小。
订购路线无法解决的问题：支付数据、发票和保修
使用取货站并不能让你隐形。即便如此，仍有三件事留在零售商处。一是账单地址，大多数支付方式会根据支付提供商的数据进行验证，因此必须正确。二是电子邮件地址，订单确认和配送状态通过此处传递。三是支付轨迹本身，根据支付方式的不同，可以从中推导出姓名和银行账户。
在实践中这意味着：如果你也不想提供账单地址，在商店购买是唯一的选择。如果你能接受你的名字和账单地址留在零售商处，而配送地址不出现在每个物流数据库中，那么路线一或二非常适合你。顺便说一下，保修和撤销权与这些决定无关；无论货物去向何处，它们都适用。
你的名字已经公开：GDPR 第15条下的访问请求
对于10月之前订购的所有人来说，改变订购路线为时已晚。取而代之的是适用数据保护法，只要公司向欧盟客户交付，该法律也适用于欧洲以外的制造商。公司有两大义务：根据《通用数据保护条例》第33条，公司在意识到数据泄露后72小时内必须向主管监管机构报告。根据第34条，一旦对其权利构成高风险，公司还必须以清晰明了的语言立即通知受影响者，说明泄露的性质、可能的后果以及采取的措施。
此外，还有一个你可以行使的权利。根据第15条的访问权，零售商有义务告诉你它处理了哪些关于你的数据、来源是谁、传递给谁以及保留多久。在最近的事件之后，第三个问题最为有趣，因为它揭示了订单期间从未提及的服务提供商链条。向法律声明中的地址发送非正式电子邮件即可，规则是一个月的期限。
删除和赔偿：第17条和第82条的结果
下一步源于访问请求。不再是客户的人可以根据第17条要求删除其数据；商业和税法下的保留义务优先，主要涉及发票，而非每份营销列表。最近几个月的案件说明了为什么这不仅仅是文书工作。在 Keystone，买家提出其订单已超过两年，尽管该公司的隐私政策曾承诺180天后删除。在 Trezor，2019年至2021年的旧订单出现在被盗文件中，根据制造商的说法，这些数据本应在很久以前按合同消失。
这就留下了金钱的问题。第82条赋予受影响者索赔非物质损害赔偿的权利。2024年11月18日，德国联邦最高法院在一起针对 Facebook 的数据抓取案件中裁定，即使是短暂失去对个人数据的控制也可能构成此类损害；法院不要求证明滥用行为或进一步的有形后果。然而，它没有指定固定金额，且必须在个案中阐明失去控制的情况。如果你正在考虑索赔，请保留零售商的通知电子邮件，因为这是你的数据位于受影响集合中最简单的证据。
上半年记录的52起攻击：物理风险的数量化
为什么配送地址比电子邮件地址权重更大，是可以量化的。分析公司 CertiK 统计，2026年上半年发生了52起针对加密资产持有者的确认物理攻击，而去年同期为39起。同一分析显示，记录的财务敞口从1,050万美元上升到约1.241亿美元。分布引人注目：52起案件中有39起发生在欧洲，仅法国就有33起。方法也发生了变化，家庭内的袭击从记录的1起增加到20起，绑架从12起增加到16起。
这些数据需要背景，CertiK 自己也提供了背景。总数包括勒索要求和强制转账，以及冻结或收回的资产，因此它不是关于实际赃款的陈述。同时，该公司指出此类犯罪未被充分记录。对于判断泄露的地址列表，核心在于： whoever owns a list of households that with some probability hold crypto assets owns a shortlist. （无论谁拥有一份有一定概率持有加密资产的住户列表，谁就拥有了一份精选名单。）作为对策，CertiK 建议采用拆分措施，例如具有多个密钥的多签钱包，使单人无法单独处置余额， plus 延迟取款和家庭内的明确安排。
每次泄露后的诡计：虚假召回和替换设备邮件
地址泄露最常见的后果不那么戏剧化，但影响更多人。Keystone 本身警告说，骗子冒充公司员工，提供退款或替换设备。该行业多年来模式相同：一条消息到达，正确描述了真实事件，正确命名了你，通常也命名了订购的型号，并从中得出紧急提议。免费替换设备、所谓的 security update、补偿表格。
反规则简短且不容例外。没有任何制造商或零售商会通过电子邮件、电话、表单、验证或退款要求你的恢复短语。输入这些单词并按发送，你的余额就会瞬间丢失，因为区块链转账无法撤回。未经请求发送给你的设备应搁置不用并向制造商报告。如何详细识别此类消息，请参阅我们关于数据泄露后网络钓鱼的指南。
订购钱包：包裹柜不额外收费
保护你的密钥和保护你的地址是两项不同的工作，没有设备能为你做第二件事。只需三步即可。
- 在下一次订购设备前更改配送目的地。 使用取货站或分支机构作为配送地址不仅免费，而且从最长链条中移除了最有价值的数据集。哪种设备适合你的持有期和金额，请参阅硬件钱包对比。
- 对于小额资金，完全跳过运输。 你日常移动的资金不需要包裹。哪些应用程序能做到这一点及其局限性，请参阅软件钱包对比。
- 不要将所有东西绑定在一个已知地址上。 在受监管提供商处持有部分资产可以减少在家中的持有量，并带来你需要了解的另一种风险；哪些欧洲房屋持有许可证，请参阅受监管加密货币交易所概览。
（截至2026年10月26日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核对条款。）
