黑客窃取设备验证密钥后，Keystone 将销毁 18,835 台硬件钱包

Keystone 于 10 月 26 日在一份声明中表示，一名获得其网站访问权限的攻击者获取了其硬件钱包用于证明自身为正品所使用的密钥。

持有该密钥的人可以制造通过所有者用于验证 Keystone 的在线检查的假冒设备。信任假冒设备的买家可能被盗取加密货币，但该事件不涉及所有者的助记词或钱包私钥。

Keystone 将销毁 18,835 台携带该密钥的未售出设备，且所有新设备将获得新密钥。

Keystone 于 10 月 20 日发现了这次未经授权的访问，其对所有者的建议取决于设备到达的时间。对于在该日期之后收到且携带旧密钥的设备，该公司表示："即使此类设备通过了身份验证，我们也无法完全排除其为假冒产品的可能性。"

此类设备的所有者应联系 Keystone 支持，并仅在公司确认其为正品后才使用。

据 Keystone 称，10 月 20 日之前送达且通过检查的设备可被视为正品并正常使用。该公司尚未说明攻击者首次入侵的时间。

据该公司称，攻击者利用 Keystone 网站所使用的第三方数据监控工具中的一个漏洞进行权限提升，从而获取了客户数据和该密钥。

Keystone 于 10 月 20 日阻止了攻击者的访问，并已修复该漏洞。它尚未说明密钥存储在何处。

设备检查的工作原理

所有者用设备扫描 Keystone 验证页面上的二维码，然后在页面上输入设备显示的代码。

在 Keystone 的开源固件中，二维码以加密形式携带该代码，设备用其存储的密钥解密。因此，正确的代码表明设备持有该密钥。

该密钥仅用于此项检查。它在创建助记词、派生私钥或签署交易中不起任何作用。

任何持有该密钥副本的人都可以生成正确的代码，因此携带该密钥的假冒设备可以通过检查。Keystone 表示，此类设备可能被出售或发货给客户，导致其加密货币被盗。该公司尚未报告任何假冒设备或盗窃事件。

该密钥在制造过程中被写入每台设备，无法擦除或重写。固件将其保存在只能写入一次的内存中，并拒绝接受第二个密钥。因此已制造的设备无法切换到新密钥。

客户记录

Keystone 于 10 月 24 日首次披露此次入侵，称第三方获取了客户的运输信息。

该公司于 10 月 26 日表示，该事件影响了 2024 年至 2026 年间在 Keystone 网站上购买的 25,964 条买家记录。这些记录包含姓名、联系方式、运输地址和订单详情。Keystone 的在线商店运行在 Shopify 上，由其存储和管理这些记录。

Keystone 表示，支付卡和银行信息以及政府身份证号码未受涉及。来自 Amazon 和 Keystone 其他销售渠道的购买记录未受影响。

Keystone 还出于预防目的，将 12,873 条未支付的结账记录纳入其响应范围。这些记录包含从未完成购买中的姓名、联系方式和运输信息。

部分受影响的数据本应已被删除。Keystone 曾承诺在每笔订单 180 天后删除运输信息。

Keystone 构建的一个用于批量擦除记录的自动化工具未能可靠运行。部分删除失败，Keystone 未及时察觉这些失败。

Keystone 正在将其客户个人数据的保留期限从 180 天缩短至 90 天，即时生效。它已要求 Shopify 删除超过 90 天的买家个人数据，预计将于 11 月 3 日完成。截至 10 月 27 日，其隐私政策仍列着 180 天。

Keystone 正在向受影响的客户发送电子邮件，并计划开设一个页面，供人们查询其信息是否受到影响。

Keystone 所有者应该怎么做

Keystone 的指导涵盖以下情况：

• 10 月 20 日之前送达：通过检查的设备可正常使用。
• 10 月 20 日之后收到且携带旧密钥：在 Keystone 支持（support@keyst.one）确认其为正品之前，请勿使用该设备。Keystone 告知这些所有者遵循其设备验证页面上的说明，但截至 10 月 27 日，该页面并未显示此类说明。Keystone 尚未说明如何辨别设备携带哪个密钥，也未说明已向此类设备发送过加密货币的所有者应该怎么做。
• 正在等待 Keystone 网站订单：在携带新密钥的设备就绪之前，发货暂停。截至 10 月 27 日，商店将 Keystone 3 Pro 列为预计 4 至 6 周内发货的预购产品。
• 通过 Amazon 或经销商购买：同样的指导适用，因为它基于设备到达的时间，而非购买地点。Keystone 通过 Amazon 官方商店和授权经销商销售。Keystone 尚未说明携带旧密钥的设备是否仍在那里销售。
• 已在 Keystone 中持有加密货币：Keystone 表示，所有者无需仅因该事件而转移其加密货币。在 10 月 20 日之后收到且携带旧密钥的设备的所有者仍应遵循上述步骤。
• 诈骗消息：将任何提供退款、更换设备、召回、钱包验证或帮助转移加密货币的电话、短信、电子邮件或信件视为诈骗。Keystone 不会要求任何人退回设备。切勿将助记词输入到你未订购的设备中，请在浏览器中直接输入 keyst.one，而不是点击链接。