Keystone 称官网遭入侵，客户姓名与收货地址等订单数据被窃
Keystone Says Intruder Took Customer Names and Addresses From Its Website
内容摘要
硬件钱包公司 Keystone 于 10 月 24 日在 X 发文称，入侵者进入其官网并窃取了客户数据：公司 10 月 20 日发现入侵，经与电商平台 Shopify 核查 API 活动后于 10 月 23 日确认数据被取走。泄露内容包括姓名、联系方式、收货地址及订单详情（所购商品与支付价格），Keystone 称支付卡与银行信息、助记词、私钥和钱包密码不在泄露范围内；公司已切断访问、修补漏洞、启动调查并开始邮件通知受影响客户，但未说明受影响人数、入侵方式或涉及的订单日期范围。文章还对比了 Keystone 历年对收货数据保留的说法：2021 年 5 月更新的隐私政策称 180 天未下单即清除订单信息，2023 年 2 月更新的帮助中心文章则称删除需客户申请且城市与国家记录不会删除，其隐私承诺页面称订单 180 天后自动删除收货信息。Keystone 同时提醒用户警惕冒充其名义的退款或换新骗局，切勿分享助记词，并称详细报告即将发布。
来源：Unchained · 采访与独立报道 · unchainedcrypto.com
打开原文所属事件
Keystone官网遭入侵，客户收货与订单信息泄露
硬件钱包厂商 Keystone 披露，其官网于10月20日发现遭未授权访问，经与电商平台 Shopify 核查 API 活动后于10月23日确认第三方获取了客户数据，泄露内容包括姓名、联系方式、收货地址及订单详情（所购商品与支付价格）。Keystone 称支付卡与银行信息、助记词、私钥和钱包密码不在泄露范围内，已阻断访问、修复漏洞并启动调查，正通过邮件通知受影响客户，并提醒用户警惕以退款、换新设备等名义冒充官方的诈骗。公司未披露受影响人数、入侵方式及涉及的订单日期范围，称详细报告即将发布。
最新变化：Cointelegraph、Unchained 补充受影响人数未披露、数据保留期质疑及物理攻击风险。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息Cointelegraph
Keystone 称网站遭入侵，硬件钱包买家收货信息被泄露
查看摘要与出处
硬件钱包厂商 Keystone 披露网站安全事件，称本周早些时候发现异常活动，并在与 Shopify 核查 API 记录后于周五确认，未授权第三方获取了客户收货信息，包括姓名、联系方式、收货地址和所购商品等订单详情。Keystone 称已封禁访问、修复漏洞、启动调查并邮件通知受影响客户，但未披露受影响人数。安全研究员 Taylor Monahan 提醒，收货地址泄露可能使客户面临物理攻击和绑架风险；CertiK 数据显示，2026 年上半年全球已记录 52 起经核实的 wrench attack（暴力胁迫交出资产），同比增 33%。此外，Keystone 曾在 2023 年博客中称已将客户数据保留期缩短至 180 天，但有购买设备已两年多的用户仍收到通知，其数据保留做法引发质疑。Cointelegraph 已就相关问题联系 Keystone，截至发稿未获回应。
核对原文 ↗同一消息深潮 TechFlow · Web3 资讯
硬件钱包 Keystone 官网遭未授权访问，客户收货与订单信息泄露
查看摘要与出处
硬件钱包 Keystone 发布公告称，其官网于 10 月 20 日遭未经授权访问，公司于 10 月 23 日核查 Shopify API 活动后确认，第三方获取了客户姓名、联系方式、收货地址及订单详情（含购买商品及价格）。Keystone 表示事件未涉及银行卡、银行账户信息、助记词、私钥或钱包密码，已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响客户，并提醒用户警惕以退款、补发设备或修复订单及地址问题为由的冒充官方诈骗。
核对原文 ↗同一消息PANews
硬件钱包Keystone官网遭未授权访问，客户收货信息泄露
查看摘要与出处
PANews 10月25日消息，硬件钱包Keystone在X平台发帖称，其于10月20日发现官网遭未授权访问，经与Shopify核实API活动后，于10月23日确认第三方获取了客户收货信息。泄露内容包括姓名、联系方式、收货地址及订单详情，支付卡或银行信息、助记词、私钥及钱包密码未泄露。Keystone表示已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响用户，并提醒用户警惕有人冒充Keystone以退款、更换设备等名义实施诈骗，切勿提供助记词或私钥。
核对原文 ↗同一消息ChainCatcher 链捕手 · 中文资讯
Keystone 硬件钱包网站遭攻击，客户地址与订单详情泄露
查看摘要与出处
ChainCatcher 消息，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。Keystone 称发现漏洞后已阻止未经授权访问并完成修复，此次事件未波及用户的支付详情、助记词或私钥，公司将继续加强安全防护。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料Unchained · 采访与独立报道
Unchained：恶意 Electrum 服务器借诱导提费窃取比特币，官方修复版本 4.8.3 发布
查看摘要与出处
Electrum 开发者 10 月 24 日发布安全通告，称 4.8.3 之前所有版本存在高危漏洞且已被在野利用：恶意服务器可扣下真实支付，向钱包展示一份收款地址被替换成攻击者的伪造交易，钱包未校验该伪造交易的签名便将其显示为进行中；其中一笔伪造交易未付手续费，疑似诱导用户提费，用户提费后 Electrum 签署了支付给攻击者的有效替换交易。开发者收到两起受害报告，受害者称窃贼地址末尾四位与原收款地址相同。4.8.3 版本新增一项校验，对花费钱包自身代币的内存池交易在进入本地记录前验证签名；通告称连接可信服务器（如自建）的客户端不受影响，未升级用户应每次核对屏幕上的输出地址。通告和发布说明均未披露被盗金额及涉事服务器。
核对原文 ↗同主题资料Unchained · 采访与独立报道
Passport 钱包商 Foundation 称后端遭入侵致钓鱼邮件，承诺发布正式报告
查看摘要与出处
Passport 比特币硬件钱包开发商 Foundation 称攻击者利用其官方域名发送钓鱼邮件，诱导用户提交助记词，公司称客户资金与设备安全。官方称事件源于 Cloudflare 上一个或多个 API 密钥被攻破，已撤销全部密钥并下线恶意域名；CEO Zach Herbert 称部分后端基础设施因自托管应用漏洞被入侵，客户支持邮箱可能失陷，团队在收到用户报告 10 分钟内切断攻击者发信能力。部分邮件含客户真实姓名、地址或电话，公司称这些信息可能来自支持邮箱、其他近期加密数据泄露或其新 Shopify 店铺订单。公司未说明收件客户数量，Herbert 表示将在细节齐备后发布正式报告。
核对原文 ↗