硬件钱包 Keystone 近日发布了一次安全事件的调查结果。调查显示，攻击者利用官网所使用的第三方数据监测工具存在的漏洞，提升了自身访问权限。除了获取部分客户的个人信息外，攻击者还盗取了用于验证设备真伪的 WebAuth 密钥。这意味着，攻击者有可能利用该密钥制造能够通过官方验证的假冒设备。
针对此次事件，Keystone 已采取一系列应对措施：停止使用已泄露的旧密钥进行设备生产，并计划销毁库存中 18,835 台使用旧密钥的设备。同时，该公司也暂停了官网上所有尚未发货的订单，转为采用预售模式。这意味着，10月20日之前下单、已收到设备的用户可正常使用；而10月20日之后收到的旧密钥设备，即使通过验证，也需联系客服进行进一步确认。值得注意的是，Keystone 表示不会要求用户退回设备。
此次安全事件共涉及 25,964 条仍含有个人信息的 Shopify 购买记录，时间范围为 2024 年至 2026 年，以及 12,873 条未完成支付的结账记录。Keystone 表示，根据其数据政策，这些信息应在 180 天后被删除，但因自动删除工具运行失败，未能按时删除，导致信息超期保留。目前，该公司已将个人信息的保留期限缩短至 90 天。
此前有消息报道称，Keystone 于 10月20日检测到官网遭受未授权访问，并随后确认，第三方攻击者获取了用户的姓名、联系方式、收货地址及订单详情。值得庆幸的是，助记词、私钥及支付信息并未泄露。
