比特币硬件钱包制造商 Keystone 表示，在攻击者获取用于证明其硬件为真品的密钥后，公司将销毁 18,835 台未售出的设备。公司还已暂停其网站上所有尚未发货订单的出货。

对买家而言，风险在于可能出现一款看起来崭新、且能通过 Keystone 自身验证检查的假钱包，因为攻击者拿到了该检查所依赖的密钥。犯罪分子随后可能把这类设备卖给会把真实资产装入其中的用户。

Keystone 在声明中表示：“如果该密钥泄露，攻击者就可以用它制造能够通过认证检查的假冒设备。这些设备随后可能被出售或寄送给客户，客户可能在不知情的情况下把它们当作正品使用，最终导致资产被盗。”

Keystone 将这一密钥称为 WebAuth key，即在工厂写入每台设备的秘密代码，网站上的页面可据此确认硬件是否真实。该密钥无法被擦除或重写，库存中携带该密钥的 18,835 台设备将被销毁，而不是出售。

Keystone 最初在周六表示，第三方已经获取了客户的运输信息。周一的声明又补充称，除了被盗密钥外，还有 25,964 条受影响的买家记录，但公司并未说明责任方是谁，也未说明攻击者何时首次入侵。

此次事件影响的是 Keystone 的 Shopify 商店记录，该电商平台负责其线上销售。Keystone 表示，共有 51,083 条买家记录受到影响，但其中 25,119 条的个人信息已被删除，剩余 25,964 条来自 2024 年至 2026 年，仍保留姓名、联系方式、收货地址和订单信息。通过亚马逊及其他渠道的购买未受影响。

其中部分数据本应已经被删除。Keystone 的政策是，在 180 天后删除买家记录，但公司为此开发的自动批量删除工具并不稳定。

Keystone 表示：“一些删除任务失败了，我们没有及时发现并处理这些失败，导致某些个人信息在允许期限之外被保留。我们未能按时履行删除客户数据的承诺，并为这一失败承担责任。”

客户名单一直是钱包制造商的一个反复出现的薄弱环节。Ledger 在 2020 年的数据泄露最终波及约 29.2 万名客户，而那些随后收到钓鱼邮件的人担心自己可能成为入室抢劫的目标。

Trezor 和 SafePal 也分别在 8 月披露了客户数据泄露事件，影响了 13,689 名客户和约 39,798 名客户。

姓名和地址之所以重要，是因为存在“扳手攻击”——犯罪分子通过威胁或暴力迫使持有人交出其加密资产。Chainalysis 统计称，2026 年上半年共发生 46 起暴力袭击，盗走资金超过 3,000 万美元。

该制造商还警告称，诈骗者可能会提供所谓的“资产迁移”“钱包验证”或“调查协助”。

公司表示：“我们不会要求你退回设备。任何以‘召回’为由联系你并要求你把设备寄给他们的人，都应被视为诈骗者。”

Keystone 网站上的销售将改为预售，直到使用新密钥生产的设备完成为止。公司还表示，已向欧盟、英国及其他司法辖区的监管机构提交报告。

Keystone 已将客户数据保留期限从 180 天缩短至 90 天，并于 10 月 24 日要求 Shopify 删除所有逾期保存的买家数据。该流程有 10 天等待期，公司预计删除将在 11 月 3 日完成。