Keystone：攻击者不仅窃取客户数据，还窃取了用于验证设备真伪的密钥

硬件钱包制造商Keystone表示，上周入侵其网站的黑客还窃取了一个用于验证其设备真实性的密钥，这使得该事件的性质从最初披露的客户数据泄露扩大为更严重的安全危机。

Keystone在周一发表的一份声明中指出，被盗的认证密钥可能使攻击者能够制造出能够通过其真实性检查的假冒钱包。“这些设备随后可能会被出售或发货给客户，他们可能会在不知情的情况下将其作为正品使用，从而导致资产被盗。”Keystone警告称。

此次事件加剧了今年针对硬件钱包制造商的一系列攻击。本月早些时候，Ledger报告称，在东南亚和香港地区销售的设备中发现了未经授权的植入物，能够捕获助记词，因此要求该地区的所有经销商暂停销售。7月下旬，Coldcard制造商Coinkite向用户发出警告，称攻击者利用了一个漏洞，导致其设备生成的钱包种子熵值低于预期，致使数百万美元加密货币被盗。

Keystone将销毁18,000多台含有旧密钥的设备

在其最新更新中，Keystone表示，攻击者利用了其网站使用的第三方监控工具中的一个漏洞来提升权限。“这使攻击者能够获得部分客户信息以及用于验证我们设备真实性的密钥。”

Keystone表示，计划销毁库存中包含已 compromised（被攻破/受损）密钥的18,835台设备，并暂停所有使用该密钥设备的生产发货。该公司表示，一旦开始使用新的认证密钥生产设备，发货将会恢复。

Keystone指出，2024年10月20日事件发生前制造并交付的设备应被视为安全的，其真实性检查仍然可信。然而，对于此后交付的设备，公司无法保证其真实性，并敦促受影响客户联系其支持团队进行额外验证。

Keystone确认25,964条买家记录泄露

Keystone还披露了客户数据泄露的范围，称其Shopify商店共生成了51,083条买家记录。其中，有25,119条记录已根据其180天的数据保留政策被删除。然而，剩余来自2024年至2026年的25,964条记录被攻击者窃取。Keystone表示，较旧的条目未被删除是因为其用于处理批量数据擦除的自动工具出现故障。“该工具运行不可靠。一些擦除任务失败，且我们未能及时发现并解决这些问题，导致某些个人信息超出了允许期限仍被保留。”

此外，攻击者还窃取了Shopify保留的另一份12,873条客户结账记录——即未完成购买的交易信息。Keystone表示，已联系Shopify，要求删除保留超过30天的结账记录中的个人信息。

此次事件让人联想到2020年6月Ledger发生的数据泄露事件，当时超过100万封电子邮件地址、客户姓名、电话号码和物理地址遭到暴露。泄露的信息引发了多年来针对受影响用户的钓鱼攻击尝试。

今年，其他硬件钱包制造商也遭受了涉及客户信息和第三方服务的安全漏洞。8月，Trezor透露其物流合作伙伴发生数据泄露，导致客户信息暴露，受影响用户数量在9月扩大到8万余人。SafePal也在8月报告了一项订单跟踪漏洞，导致近4万名客户的资料泄露；而BitBox则在9月遭遇了一场涉及受 compromising 的第三方电子邮件提供商的网络钓鱼攻击。