TLDR

攻击者是如何入侵的：

Keystone 网站存在的安全漏洞被攻击者利用，导致其获取了更高的访问权限。这不仅泄露了部分客户数据，还窃取了一个用于验证硬件钱包真伪的关键密钥。

客户记录暴露风险：

由于自动删除工具失效，2024年至2026年期间的约25,964条买家记录可能已被窃取。此外，攻击者还可能访问了Shopify持有的12,873条未完成的结账记录。

应对措施与安全声明：

Keyston已暂停所有使用该密钥设备的发货，并计划销毁库存中18,835台受影响的设备。在启用新的认证密钥前，发货将暂时停止。官方指出，2024年10月20日之前交付的设备被视为安全，但无法保证此日期之后交付的设备的安全性，受影响用户需联系支持团队进行额外验证。

攻击者是如何入侵的

Keystone 表示，攻击者利用了其网站上第三方监控工具的一个漏洞，从而获得了更高的访问权限。“这使得攻击者能够获取部分客户信息以及用于验证我们设备真实性的密钥。”该公司在声明中指出。

Keystone 透露，被盗取的认证密钥可能使攻击者能够制造出能够通过 Keystone 真实性检查的伪造钱包。“这些设备随后可能被出售或发送给客户，用户可能会在不知情的情况下将其当作正品使用，从而导致资产被盗。”Keystone 警告称。

Keystone 计划销毁库存中包含该受损密钥的 18,835 台设备，并已暂停所有使用该密钥设备的发货。一旦公司开始使用新的认证密钥生产设备，发货将重新启动。

客户记录暴露详情

Keystone 表示，其 Shopify 商店共创建了 51,083 条买家记录。根据 180 天的数据保留政策，其中 25,119 条记录已被删除。然而，剩余的 25,964 条记录（时间跨度为 2024 年至 2026 年）可能已被窃取。Keystone 指出，这些较旧的记录之所以被保留，是因为自动删除工具发生故障。

“该工具运行不可靠。某些擦除任务失败，且我们未能及时检测并解决这些问题，导致某些个人信息超出了允许期限仍被保留。”Keystone 解释道。

攻击者可能还访问了由 Shopify 持有的 12,873 条结账记录，这些记录来自从未完成的购买交易。Keystone 表示，已要求 Shopify 删除超过 30 天保留期的结账记录中的个人信息。

行业背景与安全警示

此次事件是今年针对硬件钱包制造商的一系列攻击之一。本月早些时候，Ledger 要求东南亚和香港的经销商停止销售其产品，此前有报道称在该地区销售的设备中存在可捕获助记词的未经授权植入物。

7 月下旬，Coldcard 制造商 Coinkite 在攻击者利用漏洞后向用户发出警告。该漏洞导致设备生成的钱包种子随机性不足，造成数百万美元加密货币被盗。

8 月，Trezor 披露了其物流合作伙伴遭受的攻击。受影响用户数量在 9 月增长至 80,000 多人。

SafePal 在 8 月报告了一个订单跟踪漏洞，导致近 40,000 名客户的数据暴露。BitBox 则在 9 月成为网络钓鱼活动的目标，该活动与一个受损害的第三方电子邮件提供商有关。

Keystone 的事件与 2020 年 6 月的 Ledger 数据泄露类似。那次泄露暴露了超过 100 万个电子邮件地址，以及姓名、电话号码和家庭住址，引发了长达数年的网络钓鱼攻击。

Keystone 表示，在 10 月 20 日事件之前制造并交付的设备应被视为安全的，其真实性检查仍然可信。然而，公司表示无法保证此日期之后交付的设备的安全性，并敦促受影响客户联系其支持团队以获取额外的验证。