Keystone 漏洞加剧：被盗验证密钥影响钱包真实性

核心提要：Keystone 确认遭黑客入侵：认证密钥被盗，影响硬件钱包真实性验证Keystone 扩大了上周网站被入侵事件的披露范围。该公司表示，攻击者不仅访问了其客户数据库的部分内容，还窃取了一个用于对其硬件钱包进行身份验证的加密密钥。这一进展引发了依赖设备真实性检查以降低篡改产品风险的用户的新的担忧。在周一发布的更新中，Ke

Keystone 确认遭黑客入侵：认证密钥被盗，影响硬件钱包真实性验证

Keystone 扩大了上周网站被入侵事件的披露范围。该公司表示，攻击者不仅访问了其客户数据库的部分内容，还窃取了一个用于对其硬件钱包进行身份验证的加密密钥。这一进展引发了依赖设备真实性检查以降低篡改产品风险的用户的新的担忧。

在周一发布的更新中，Keystone 警告称，被盗的身份验证密钥可能使假冒设备能够通过其验证流程。该公司还披露了被认为已暴露的买家数据量，并概述了销毁受影响库存的步骤。

关键要点

Keystone 表示，攻击者窃取了用于验证其硬件钱包是否为正品的身份验证密钥，这可能使假冒设备得以通过验证。 该公司计划销毁库存中包含受损密钥的 18,835 台设备，并已暂停使用旧身份验证材料的发货。 Keystone 估计，由于自动删除工具未能完成部分擦除任务，2024 年至 2026 年期间的 25,964 条买家记录可能被窃取。 该公司指出，在 10 月 20 日事件之前制造和交付的设备，在其真实性检查下应仍被视为可信。

今年，多家硬件钱包制造商报告了安全事件，这些事件通常涉及第三方服务。

不仅是客户数据：身份验证密钥泄露

Keystone 最初将此次事件描述为客户数据泄露。根据其在 X 平台（原推特）上周一发布的声明，攻击者还获取了一个用于验证 Keystone 设备真实性的密钥。在同一更新中，该公司表示，这为骗子制造仍能通过 Keystone 身份验证检查的假冒钱包提供了现实路径。

Keystone 警告称，此类假冒设备可能会被出售或发送给客户，而客户可能无法识别其为假货——如果用户使用受影响的硬件导入资产或进行交易，则存在资产被盗的风险。

要理解这一点的重要性，值得注意真实性验证在硬件钱包模式中的作用。与纯软件钱包不同，硬件钱包旨在通过依赖可信的设备身份和安全初始化来减少恶意代码的暴露。如果该身份层受到破坏——无论是通过供应链操纵还是假冒硬件——用户可能会失去对制造商提供的“验证”保证的信心。

销毁库存与暂停发货

Keystone 表示，攻击者在利用其网站使用的第三方监控工具中的漏洞后获得了身份验证密钥。随后，该公司通过改变发货内容来控制风险。

具体而言，Keystone 表示将销毁库存中包含受损密钥的 18,835 台设备。它还暂停了使用旧身份验证密钥的设备的生产发货。

Keystone 表示，一旦开始使用替代身份验证密钥制造新设备，发货将恢复。该公司补充说，在 10 月 20 日之前制造和交付的设备应被视为安全的，并且其真实性检查对于该批次设备仍然可靠。

同时，Keystone 警告称，它不能保证 10 月 20 日之后交付的设备的真实性。它敦促拥有可能受影响单位的客户联系支持团队以进行额外验证。

关于客户数据泄露的说明

除了身份验证密钥受损外，Keystone 还对客户数据泄露的影响范围进行了量化。该公司表示，其 Shopify 商店生成了 51,083 条买家记录。

Keystone 报告称，其中 25,119 条记录已根据其 180 天的数据保留政策被删除。剩余 25,964 条记录日期跨度为 2024 年至 2026 年——Keystone 表示这些记录可能被攻击者窃取。

该公司将旧记录的保留归因于其自动批量擦除工具的故障。Keystone 表示，该工具未能可靠地完成所有删除任务，且公司未及时检测并纠正这些失败，导致某些个人信息持有时间超过了允许期限。

Keystone 还表示，攻击者可能访问了 Shopify 存储的 12,873 条未完成的客户结账记录。该公司表示，它已联系 Shopify，要求删除超过 30 天保留期的结账记录中的个人信息。

此事件遵循了硬件钱包领域常见的模式：漏洞与在线店面、数据库和第三方基础设施有关，而非直接针对钱包固件本身的攻击。虽然这并不自动意味着设备层面被篡改，但它确实产生了针对用户进行网络钓鱼和社会工程攻击的动机——尤其是当联系方式和地址详情被暴露时。

硬件钱包安全事件持续累积

Keystone 的更新是今年针对硬件钱包制造商的一系列更广泛问题的最新案例。此前的报道指出，Ledger 曾要求东南亚部分地区和香港的经销商暂停销售，原因是报告称部分设备包含能够捕获助记词的未经授权的植入物。Cointelegraph 此前也注意到，Coldcard 制造商 Coinkite 在 7 月下旬发出警告，因为攻击者利用了一个导致设备生成熵值低于预期的钱包种子的漏洞，导致数百万美元加密货币被盗。

Keystone 自身披露的身份验证密钥受损表明，其威胁模型比标准数据泄露更为深入。被盗的验证密钥引入了潜在的假冒设备向量，而不仅仅是限制影响于诈骗和网络钓鱼——这是用户通过常规检查可能无法检测到的问题。

更广泛的行业也经历了零售商和物流相关的漏洞。例如，Trezor 披露了其运输合作伙伴发生漏洞，且受影响用户数量随时间推移而增加。SafePal 也披露了一起影响近 40,000 名客户的订单跟踪漏洞，而 BitBox 则面临与受损害的第三方电子邮件提供商相关的网络钓鱼活动。

历史上，类似事件具有长尾效应。2020 年 6 月 Ledger 的一次漏洞泄露了超过 100 万个电子邮件地址以及个人详细信息，此前 Cointelegraph 报道过，泄露的信息后来被用于推动网络钓鱼尝试。Keystone 的最新更新可能会加剧用户对如何验证设备的关注——特别是当真实性系统本身涉及其中时。

用户后续应注意的事项

对于 Keystone 客户来说，最实用的下一步是根据该公司针对与 10 月 20 日时间段相关的单位提供的验证指南。从更广泛的行业角度来看，钱包制造商如何保护身份验证密钥和第三方工具可能会面临更严格的审查——这些领域可能将“网站事件”转化为影响设备信任而非仅影响客户隐私的风险。