Keystone 密钥失窃：1.8 万台设备面临假冒风险

据 Woofun AI 消息，硬件钱包制造商 的安全防线遭遇重创，攻击者不仅窃取了用于验证设备真实性的核心密钥，还获取了大量客户数据。这一发现使得原本被定性为客户信息泄露的事件性质发生根本性转变，直接威胁到用户资产的安全边界。Keystone 指出，失窃的密钥赋予了攻击者制造能够通过官方真实性检测的假冒钱包的能力，这些高仿真设备一旦流入市场，用户将在不知情的情况下使用，进而导致加密资产被盗。

这一漏洞的利用路径清晰且致命，标志着针对硬件钱包的攻击手段已从单纯的数据窃取升级为对物理设备信任链的破坏。

从技术归因来看，此次入侵的突破口在于 Keystone 网站所使用的第三方监控工具。攻击者利用该工具中的漏洞提升了系统权限，从而渗透至内部网络。Woofun AI 整理数据显示，受此影响，Keystone 计划销毁库存中包含受损密钥的 18,835 台设备，并立即暂停所有使用该密钥设备的生产与发货。公司明确表示，10 月 20 日之前制造并交付的设备仍被视为安全，其真实性检测结果有效；但在此日期之后交付的设备，其真实性无法得到保证，受影响客户需联系客服进行核实。在客户数据层面，Keystone 的 店铺共生成 51,083 条买家记录。依据其 180 天的数据保留政策，其中 25,119 条记录本应被删除，但由于批量删除自动化工具运行不稳定且故障未被及时发现，导致剩余的 25,964 条涵盖 2024 年至 2026 年数据的记录被攻击者窃取。

此外，攻击者还窃取了 Shopify 保存的另外 12,873 条客户结账记录，这些均为未完成购买的订单信息。Keystone 已联系 Shopify，要求删除保存时间超过 30 天的结账记录中的个人信息。

这一事件并非孤立个案，而是今年硬件钱包行业安全危机加剧的缩影。深层原因在于，多家头部厂商均暴露出在供应链管理和第三方服务依赖上的脆弱性。本月早些时候， 因报告称在东南亚及香港地区销售的设备内存在可用于获取恢复短语的未经授权组件，而要求经销商暂停销售。7 月底， 的制造商 发出警告，指出攻击者利用漏洞使其设备生成的钱包种子熵值低于预期，导致数百万美元加密货币被盗。

8 月， 披露其物流合作伙伴发生数据泄露，至 9 月受影响用户增至 8 万多人； 也在 8 月报告订单追踪功能漏洞，导致近 4 万名客户数据泄露； 则在 9 月遭遇针对第三方电子邮件服务提供商的钓鱼攻击。回顾历史，2020 年 6 月 Ledger 曾发生数据泄露，暴露 100 多万个电子邮件地址及姓名、电话、住址等敏感信息，为后续多年的钓鱼攻击提供了可乘之机。当前 Keystone 的遭遇再次印证，随着攻击者对第三方基础设施的渗透能力增强，硬件钱包制造商必须重新审视其全链路安全架构，任何单一节点的失效都可能引发连锁反应，侵蚀用户对去中心化存储方案的信任基石。