比特币钱包制造商Keystone召回设备，因密钥被盗导致假冒产品泛滥

Keystone 销毁近两万台设备：因密钥泄露导致硬件钱包面临伪造风险

比特币硬件钱包制造商 Keystone 周一宣布，将销毁 18,835 台未售出的设备。此前，攻击者获取了用于证明其硬件真实性的密钥。该公司同时暂停了其网站上所有未发货订单的配送。

对于买家而言，主要风险在于可能收到外观崭新且能通过 Keystone 自身验证检查的假冒钱包。由于攻击者已获取该验证机制所依赖的密钥，犯罪分子可将此类设备出售给在设备上存入真实资产的用户，从而导致资产被盗。

WebAuth 密钥泄露与受影响范围

Keystone 称该密钥为 WebAuth 密钥，这是一种在工厂生产时写入每台设备的秘密代码，旨在通过公司网站确认硬件的真实性。该密钥无法被擦除或重写，因此库存中携带此密钥的 18,835 台设备将被销毁而非销售。

Keystone 最初于周六表示，第三方窃取了客户shipping信息。周一的公告补充披露了被盗密钥以及受影响的 25,964 条买家记录，但并未说明责任方是谁，也未指明攻击者首次入侵的时间。

此次事件影响了 Keystone 使用的电商平台 Shopify 上的数据。Keystone 指出共有 51,083 条买家记录涉及其中，但已有 25,119 条记录的个人信息被清除，剩余 25,964 条记录（涵盖 2024 年至 2026 年的数据）仍包含姓名、联系方式、收货地址及订单信息。通过亚马逊等其他渠道进行的购买不受影响。

数据删除失败与合规问题

部分数据本应已被删除。Keystone 的政策规定在 180 天后擦除买家记录，但其为此开发的自动化批量删除工具运行不可靠。“部分擦除任务失败，我们未能及时检测并处理这些故障，导致某些个人信息在允许期限外被保留，”Keystone 在声明中表示，“我们未能履行按时擦除客户数据的承诺，并对这一失败承担责任。”

行业背景与安全警示

客户名单一直是钱包制造商的薄弱环节。Ledger 2020 年的数据泄露最终波及约 29.2 万名客户，随后收到钓鱼邮件的用户担心自己会成为入室抢劫的目标。Trezor 和 SafePal 分别在八月披露了客户数据泄露事件，分别影响了 13,689 名和约 39,798 名客户。

姓名和地址之所以重要，是因为存在“扳手攻击”（wrench attacks），即犯罪分子通过威胁或暴力强迫用户交出加密货币。Chainalysis 统计显示，仅在 2026 年上半年就发生了 46 起暴力袭击事件，超过 3,000 万美元被盗。

制造商还警告称，有骗子以提供“资产迁移”、“钱包验证”或“调查协助”为名进行诈骗。“我们不会要求您退回设备，”公司表示，“任何以‘召回’为由联系您并要求您将设备寄送给他们的人，都应被视为骗子。”

后续措施与整改

在配备新密钥的设备生产完成之前，Keystone 网站的销售模式将转为预售。该公司表示已向欧盟、英国及其他司法管辖区的相关当局提交报告。

此外，Keystone 将客户数据保留期从 180 天缩短至 90 天，并于 10 月 24 日要求 Shopify 擦除所有逾期的买家数据。该过程设有 10 天的等待期，预计将于 11 月 3 日完成擦除工作。