硬件钱包厂商 Keystone 表示，上周针对其网站的入侵事件影响范围已经扩大。公司最新披露，攻击者除获取客户信息外，还窃取了一把用于验证设备真伪的密钥，这意味着假冒设备可能通过官方真实性检查。
Keystone 周一在声明中称，这把被盗的认证密钥可能被攻击者用于制造可通过真伪校验的假冒钱包。
公司写道：「这些设备随后可能被出售或寄送给客户，用户可能在不知情的情况下将其当作正品使用，并可能因此导致资产被盗。」
这起事件也让今年针对硬件钱包厂商的一系列攻击再添一例。
本月稍早，Ledger 曾要求东南亚和香港地区的经销商暂停销售，原因是有报告称，当地售出的设备中发现了未经授权的植入物，这些植入物能够窃取助记词。
7 月下旬，Coldcard 制造商 Coinkite 也曾向用户发出警告。该公司称，攻击者利用一个漏洞，导致设备生成的钱包种子熵值低于预期，最终造成数百万美元加密资产被盗。
Keystone 将销毁 18,835 台含旧密钥设备
在最新更新中，Keystone 表示，攻击者利用了其网站所使用的一款第三方监控工具中的漏洞，并借此提升权限。
Keystone 表示：「这使攻击者得以获取部分客户信息，以及一把用于验证我们设备真实性的密钥。」
公司称，计划销毁库存中 18,835 台包含已泄露密钥的设备，并已暂停所有使用该密钥设备的生产出货。
Keystone 表示，待开始生产使用新认证密钥的设备后，出货将恢复。
公司同时称，在 10 月 20 日这起事件发生前已生产并交付的设备，可被视为安全，其真实性检查仍然可信。
不过，Keystone 也表示，无法保证 10 月 20 日之后交付设备的真实性，并敦促受影响客户联系其支持团队进行额外验证。
Keystone 确认 25,964 条买家记录泄露
Keystone 还披露了客户数据泄露的具体规模。公司称，其网站的 Shopify 商店共生成了 51,083 条买家记录。
其中，25,119 条记录已根据其 180 天数据保留政策删除。
但剩余 25,964 条可追溯至 2024 年至 2026 年的记录被攻击者窃取。Keystone 表示，较早的数据之所以未被删除，是因为其用于批量擦除数据的自动化工具发生故障。
Keystone 表示：「该工具运行并不可靠。部分擦除任务执行失败，而我们未能及时发现并处理这些失败，导致某些个人信息在允许期限之外仍被保留。」
除上述数据外，攻击者还窃取了另外 12,873 条由 Shopify 保留的客户结账记录，也就是未完成购买流程所产生的信息。
Keystone 表示，已联系 Shopify，要求删除保留超过 30 天的结账记录中的个人信息。
硬件钱包厂商今年连续遭遇安全事件
这起事件让人联想到 Ledger 在 2020 年 6 月发生的数据泄露。当时，超过 100 万个电子邮件地址，以及客户姓名、电话号码和住址被曝光。泄露信息随后引发了多年针对受影响用户的网络钓鱼攻击。
今年，其他硬件钱包厂商也接连遭遇涉及客户信息和第三方服务的安全事件。
8 月，Trezor 披露其物流合作伙伴发生数据泄露，导致客户信息暴露；到 9 月，受影响用户数量扩大至超过 80,000 人。
SafePal 也在 8 月报告称，其订单追踪系统存在漏洞，暴露了近 40,000 名客户的数据。BitBox 则在 9 月遭遇一场网络钓鱼攻击，事件涉及一家被攻破的第三方电子邮件服务提供商。