硬件钱包厂商 Keystone 表示，在攻击者获取其用于验证设备真伪的密钥后，公司将销毁近 1.9 万台尚未发货的硬件钱包。
Keystone 上周六先在 X 上确认，客户配送信息疑似发生泄露，涉及「姓名、联系方式、收货地址和订单详情（商品及价格）」。这一确认距离一名客户报告遭遇一次「社会工程学」电话约 18 小时。对方在通话中使用了 Keystone 订单信息。
Keystone 称，此次事件不涉及敏感支付信息和钱包密钥，但提醒用户警惕冒充公司员工的诈骗者，尤其是那些「提供退款、替换设备，或为你的订单或地址提供『修复方案』」的人。
Keystone 在声明中写道：「我们欠你们一个道歉。10 月 20 日，我们发现官方网站遭到未授权访问。在与 Shopify 核实 API 活动后，我们于 10 月 23 日确认有第三方获取了客户配送信息。你们把这些信息交给了我们，我们对此感到抱歉。」
受影响记录接近 2.6 万条，另有约 1.3 万条未完成订单信息
Protos 报道称，Keystone 此前曾承诺，「订单完成 180 天后，你的配送数据会被永久删除」。不过，最早提出潜在数据泄露警告的用户称，其设备购于 2024 年。
Keystone 随后更新称，受影响记录总数接近 2.6 万条，范围限于其官网通过 Shopify 完成的购买记录；此外，还有约 1.3 万条未完成购买记录，涉及部分订单信息。
更新还称，另有 2.5 万条记录已「根据我们的数据保留政策被永久删除」。不过，公司也承认，其自动化数据删除工具「运行并不可靠」，导致「某些个人信息在允许期限之后仍被保留」。
验证设备真伪的 WebAuth 密钥也被攻击者获取
更严重的是，Keystone 在更新中承认，「攻击者还获取了我们用于验证设备是否为正品的 WebAuth 密钥」。
Keystone 表示，新生产的硬件钱包将改用新的密钥。在完成这一调整前，公司已暂停发货；现有近 1.9 万台未发货库存将被销毁。
Foundation Passport 也出现钓鱼邮件事件
类似情况也出现在 Foundation Passport。报道提到，从周一清晨开始，X 上陆续出现针对 Foundation Passport 用户的钓鱼邮件报告。
相关截图显示，邮件利用了有关显示模块的恐吓话术，明显受到近期 Ledger 设备受影响事件的启发。该制造商确认，这些「垃圾邮件」确实从其官方域名发出，源头可追溯至「Cloudflare 上一个或多个被攻破的 API 密钥」。
Foundation 此前也曾向用户表示，客户数据会在 60 天后「自动」删除。公司在后续更新中澄清称，其系统内共投递了超过 2 万次钓鱼尝试，但「仍在确定」有多少用户的个人数据遭到暴露。
关于 60 天内删除数据一事，Foundation 表示，其此前使用的 WooCommerce 确实清除了订单数据。但在「过去的数据库迁移过程中」，只有新表被做了脱敏处理，而「旧副本仍然包含个人信息」。公司还补充称，近期通过 Shopify 提交的订单「也可能已经暴露」。
硬件钱包行业近期连续出现安全事件
Protos 在报道中指出，近几周硬件钱包用户接连遭遇安全问题。冷存储一直被视为加密用户保管资产的更安全方案，但一系列安全事件已经造成重大损失，也带来了数据泄露风险。
报道称，Ledger 的间谍软件风波和 Coldcard 的助记词生成漏洞合计已导致超过 2 亿美元损失。
除 Keystone 和 Foundation Passport 外，近期泄露事件还涉及 Ledger、其主要竞争对手 Trezor，以及 SafePal。报道还提到，Coldcard 在本月早些时候其 X 账号遭入侵，攻击者向其 6.7 万名关注者发布了一条钓鱼链接。虽然这并不属于严格意义上的数据泄露，但发生在 Coldcard 试图借 Ledger 负面舆论发文之后仅两天，显得格外尴尬。