Keystone删除承诺落空后，OneKey将客户数据保留期限制在30天

OneKey创始人王易石（Yishi Wang）承诺，在竞争对手Keystone承认其180天数据删除系统在泄露事件后失效（该事件导致近26,000条买家记录暴露）后的30天内，删除客户数据。

Ke帮助中心指出，用户记录最终由Shopify负责删除。这一披露暴露了Shopify商店和物流公司层面的安全漏洞，超出了OneKey和Keystone等钱包制造商的控制范围，尽管前者已做出30天删除承诺。

OneKey为何缩短数据保留窗口

OneKey的王易石 Ajna 周二，该硬件钱包制造商宣布，在近期泄露事件和供应链攻击暴露出其所在行业的安全漏洞后，正在对其自身安全系统进行审计。

王强调称，此举是预防性的，并写道：“OneKey 并未经历任何安全”事件。相反，将数据保留期限限制为30天的决定是对其他公司所发生问题的直接回应。

缩短数据保留窗口背后的原因是：供应商保留客户数据的时间越长，在数据泄露中可能暴露的客户数据量就越大。

Keystone 泄露事件的原因是什么？

Keystone 披露 该系统本应在180天数据保留期结束后自动删除客户数据，但已停止工作且未触发任何警报。“我们未能按时履行删除客户数据的承诺，我们为此失败承担责任，”该公司表示。

Keystone 发现仍有25,964条记录包含个人数据、姓名、收货地址、联系方式和购买历史，这是在 51,083条Shopify买家记录审查期间。显然，追溯到2024年的数据仍被保留，远远超过了180天的限制 该公司强调 2026年1月，Ledger客户得知其电商合作伙伴Global-e发生数据泄露事件。

调查人员在另外12,873条未支付的结账记录中发现了敏感信息。

对此，Keystone已将数据保留期缩短至90天。

Keystone还于10月26日披露，攻击者窃取了用于证明设备真实性的WebAuth密钥，并将入侵行为归咎于第三方监控工具中的一个漏洞，该漏洞使攻击者得以提升访问权限。Keystone最初于10月20日发现该异常活动。

由于该密钥在制造过程中被烧录到每台设备中且无法覆盖，Keystone计划销毁库存中所有搭载该密钥的18,835台设备。新出厂的钱包将使用替换密钥。

该公司已暂停处理网站上的待发货订单，并转为预售模式。

删除承诺的有效性取决于持有数据的合作伙伴

值得注意的是，硬件钱包制造商并非唯一存储客户数据的一方。电商平台和物流合作伙伴也会处理客户的姓名、地址和订单历史，而最近的多数数据泄露事件正是发生在这一层面。

Trezor的数据泄露事件 在反复书面保证后，其物流合作伙伴ShipMonk仍未能删除记录，导致SafePal触及81,000名客户 曝光了39,798名客户的信息 通过订单追踪漏洞，并已将数据保留期缩短至90天。Ledger确认CryptoBilis转售的设备中隐藏了能够捕获助记词的芯片。Cryptopolitan援引链上研究人员的话称， 估计损失 超过86百万美元。

最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。