硬件钱包Keystone官网遭未授权访问,部分用户收货信息泄露

核心要点：

• 事件确认：硬件钱包制造商Keystone于2026年10月25日确认，其官方网站于10月20日遭到未经授权的访问。
• 泄露范围：第三方通过Shopify API获取了部分客户的姓名、联系方式、收货地址及订单详情（商品名称与价格）。支付卡或银行信息、助记词、私钥及钱包密码均未泄露。
• 处置进展：Keystone已阻断未授权访问、修复漏洞并启动调查，正通过邮件通知受影响用户，详细调查报告将于近期公布。
• 核心警示：诈 骗者可能冒充Keystone，通过电话、短信、邮件或邮寄信件，以退款、更换设备或"修复"订单等名义行骗。用户切勿向任何人提供助记词或私钥，也不要在非本人订 购的设备中输入助记词。

10 月 25 日（UTC+8），硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。该公司表示，在发现漏洞后已立即采取行动，成功阻止了未经授权的访问。目前，Keystone 已完成漏洞修复工作，并强调此次事件并未波及用户的支付详情、助记词或私钥。公司方面表示，将继续加强安全防护措施。

Keystone硬件钱包简介

Keystone 是一款以“完全开源”和“物理隔离（Air-Gapped）”为核心安全理念的硬件冷钱包，旨在让用户以最大程度的透明度和可控性来自我托管加密资产。

核心安全架构：为何它与众不同？

Keystone的安全设计围绕让私钥彻底远离网络和物理攻击展开，主要体现在以下几个层面：

• 100% 全开源：这是Keystone最核心的差异化优势。它的硬件设计（电路图、物料清单）、固件代码和应用层全部公开在GitHub上，允许任何安全专家独立审计和验证，从机制上消除了“黑箱”风险。
• 完全离线（Air-Gapped） ：Keystone 3 Pro 不支持USB数据线、蓝牙、WiFi或NFC等任何无线或有线数据传输方式，交易签名过程100%离线。设备通过摄像头扫描二维码或MicroSD卡来接收和返回交易数据，极大减少了潜在的攻击面。
• 三重安全芯片：旗舰型号Keystone 3 Pro是业内首款内置三颗独立安全元件（Secure Element）芯片的硬件钱包，其安全级别与护照、银行卡中的芯片同级。助记词和指纹等敏感数据被分别加密存储在多颗芯片上，显著提高了物理攻击的成本和难度。
• 物理防拆与自毁：设备具备PCI级物理防拆保护。一旦检测到外壳被非法打开等物理篡改行为，内置的自毁机制会自动擦除所有已存储的私钥，防止设备落入他人手中后资产被盗。

事件始末：官网遭未授权访问，收货信息泄露

事件时间线

日期	事件
10月20日	Keystone检测到官网遭未授权访问
10月23日	与Shopify核实API活动后，确认第三方获取了客户收货信息
10月25日	Keystone公开发布致歉与事件确认声明

泄露了什么，没泄露什么

这是本次事件中最关键的分界线。

已泄露	未泄露
姓名	支付卡信息
联系方式	银行信息
收货地址	助记词
订单详情（商品名称与价格）	私钥
	钱包密码

核心判断：泄露的是订单与物流层面的个人信息，而非资产控制权层面的密码学秘密。私钥和助记词未受影响，意味着用户链上资产的控制权本身并未因此次事件而暴露。

真正需要警惕的：后续钓鱼与社工攻击

Keystone在声明中明确警告：诈 骗者可能利用此次泄露的订单与地址信息，冒充官方，通过多种渠道接触用户。

诈 骗者可能使用的手段：

渠道	可能的诈 骗话术
电话 / 短信	声称订单异常、需要退款或更换设备
电子邮件	伪装成官方通知，诱导点击恶意链接
邮寄信件	利用已泄露的收货地址，寄送伪造的"官方通知"或"替换设备"

用户必须坚守的底线：

• 绝不向任何人提供助记词或私钥——Keystone官方永远不会索要这些信息。
• 绝不在非本人订 购的设备中输入助记词——如果收到一台"替换设备"，不要用它初始化你的钱包。
• 不点击意外消息中的链接，手动输入官方网址访问，如有疑问通过官方渠道联系客服。

这次事件说明了什么？

第一，硬件钱包的"安全边界"正在从设备本身延伸到订单与物流环节。

Keystone设备本身的密码学设计（私钥离线生成、助记词不触网）在此次事件中经受住了考验——泄露没有触及资产控制权的核心。但用户在下单、收货、售后等环节留下的个人信息，却成为了攻击者可以利用的入口。这与近期Ledger供应链攻击事件揭示的逻辑一脉相承：攻击者正在避开最坚固的技术防线，从外围的个人数据与用户信任切入。

第二，泄露数据的"二次利用"比泄露本身更危险。

姓名、地址和订单详情单独来看并不致命，但它们为精准钓鱼提供了素材。攻击者可以准确说出你的订单号、购买的产品型号和收货地址，从而极大提高诈 骗的可信度。真正需要防范的，是信息被用于"让你自己把资产交出去"。

第三，硬件钱包行业的数据安全标准需要升级。

此次事件涉及Shopify API这一第三方电商基础设施。对于硬件钱包厂商而言，网站、订单系统、客服渠道与设备本身的密码学安全同等重要。用户信任的建立需要数年，但一次订单数据泄露就足以被诈 骗者利用数月。

更多：2026年十大最佳加密钱包推荐:顶级安全硬件与软件钱包深度测评

总结

Keystone此次官网遭未授权访问，没有动摇硬件钱包最核心的安全承诺——私钥与助记词未泄露，资产控制权仍在用户手中。但泄露的姓名、地址与订单详情，为精准钓鱼和社工攻击提供了弹药。

对用户的行动建议：

• 无需恐慌性转移资产——私钥和助记词未泄露，链上资产本身未受直接影响。
• 高度警惕任何主动联系你的"Keystone官方" ——尤其是涉及退款、换货或"安全升级"的请求。
• 坚守一条底线：任何人索要助记词或私钥，都是诈 骗。
• 如收到来源不明的"替换设备"，不要用它初始化钱包，通过官方渠道核实后再处理。

到此这篇关于硬件钱包Keystone官网遭未授权访问,部分用户收货信息泄露的文章就介绍到这了,更多相关Keystone钱包遭未授权访问内容请搜索脚本之家以前的文章或继续浏览下面的相关文章，希望大家以后多多支持脚本之家！

Tag：keystone   硬件钱包