Keystone证实Shopify商店遭入侵，硬件钱包买家地址泄露
硬件钱包制造商Keystone表示，一名入侵者突破了其基于Shopify的在线商店，窃取了客户姓名、联系方式、收货地址和订单记录，但并未获取支付数据、助记词或私钥。
泄露事件于10月20被发现，10月23得到确认
这家总部位于香港的公司于10月24日（星期六）在X平台发表致歉声明，称其于10月20日发现官方网站存在未授权访问行为，并在与Shopify核查API活动后，于10月23日确认第三方已获取客户的收货数据。
“您信任我们将这些详细信息交予我们保管，对此我们深感抱歉，未能确保其安全。”Keystone写道。
Keystone表示，被盗的记录包括姓名、联系方式、地址以及订单信息（如购买的商品及价格），而助记词、私钥、钱包密码以及银行卡和银行账户详情均未被窃取。
该公司表示，已切断相关访问权限、修补了漏洞、启动了调查，并开始向受影响的客户发送电子邮件。目前，公司尚未公布受害者人数、攻击入口或攻击者身份，但表示将很快发布详细报告。
Keystone 警告买家，冒充者可能会通过电话、短信、电子邮件或邮件联系他们，提供退款、新设备或针对订单/地址的“修复”服务。它还提醒买家不要在未订购的设备上输入恢复助记词，并应亲自手动输入 keyst.one 网址。
在 Keystone 公开之前，X 用户 @PEPE_Whale69 于周五晚间报告了一起可能的数据泄露事件。该用户称接到一个伪装成蒙特利尔警察局号码的电话，对方询问 Amazon、eBay 或 Keystone 是否有任何意义。
帖子指出，来电者的信息与用户 2024 年的 Keystone 订单细节相符。Keystone 于周六凌晨 1:08（美东时间）回应称，已“对此事启动紧急调查”。
客户表示，超过 180 天的订单发生泄露
Keystone 一直将数据删除作为其卖点之一。1 月 5 日，即 Ledger 客户收到其电商合作伙伴 Global-e 发生数据泄露通知的同一天，Keystone 发布声明称：“您的订单完成后 180 天，您的收货数据将被永久删除。”
“其他硬件钱包会永久保存您的数据。我们最多在 180 天内删除您的配送信息”，Keystone 在今年三月写道。
周六，@trintaetres_33 表示，尽管其购买设备已超过两年，但仍收到了此次泄露邮件。@BlockchainBarmy 表示，其上次下单与遭遇泄露之间相隔了 214 天。
与假冒电话相关的2024年订单也已超过180天，但Keystone并未公开说明其是否遵循了自身政策，且客户提出的索赔均未得到核实。
在其“隐私承诺”页面上，Keystone 表示所有收货信息将在订单完成后 180 天自动删除。但在其隐私政策（最后更新于 2021 年 5 月）中，它指出仅对过去 180 天内未下单的客户删除订单数据。
帮助中心的一篇文章称，即使买家要求删除，也会保留城市和国家的记录，而Shopify负责最终删除。
8月，Trezor表示，其物流合作伙伴ShipMonk遭到入侵，导致近1.4万名客户信息泄露，随后又将约6.7万名美国客户加入统计总数。
在Trezor首次披露后的几天里，SafePal表示，其用于跟踪订单的系统存在漏洞，导致近4万名客户信息泄露。
Cryptopolitan 本月早些时候报道，Ledger 确认 CryptoBilis 销售的钱包内部隐藏芯片会在设置过程中读取 24 个单词的助记词，并通过 LTE 将其发送出去。链上研究人员估计损失超过 8600 万美元。
正因为如此, Trezor将从 2027 年 1 月 1 日起停止向某些经销商销售产品。
Keystone钱包使用二维码签署交易，因此无需USB、蓝牙或Wi-Fi连接。此次黑客攻击影响了该公司的Shopify商店。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
