Keystone刪除承諾落空後，OneKey將客戶數據保留期限制在30天

OneKey創始人王易石（Yishi Wang）承諾，在競爭對手Keystone承認其180天數據刪除系統在泄露事件後失效（該事件導致近26,000條買家記錄暴露）後的30天內，刪除客戶數據。

Ke幫助中心指出，用戶記錄最終由Shopify負責刪除。這一披露暴露了Shopify商店和物流公司層面的安全漏洞，超出了OneKey和Keystone等錢包製造商的控制範圍，儘管前者已做出30天刪除承諾。

OneKey爲何縮短數據保留窗口

OneKey的王易石 Ajna 週二，該硬件錢包製造商宣佈，在近期泄露事件和供應鏈攻擊暴露出其所在行業的安全漏洞後，正在對其自身安全系統進行審計。

王強調稱，此舉是預防性的，並寫道：“OneKey 並未經歷任何安全”事件。相反，將數據保留期限限制爲30天的決定是對其他公司所發生問題的直接回應。

縮短數據保留窗口背後的原因是：供應商保留客戶數據的時間越長，在數據泄露中可能暴露的客戶數據量就越大。

Keystone 泄露事件的原因是什麼？

Keystone 披露 該系統本應在180天數據保留期結束後自動刪除客戶數據，但已停止工作且未觸發任何警報。“我們未能按時履行刪除客戶數據的承諾，我們爲此失敗承擔責任，”該公司表示。

Keystone 發現仍有25,964條記錄包含個人數據、姓名、收貨地址、聯繫方式和購買歷史，這是在 51,083條Shopify買家記錄審查期間。顯然，追溯到2024年的數據仍被保留，遠遠超過了180天的限制 該公司強調 2026年1月，Ledger客戶得知其電商合作伙伴Global-e發生數據泄露事件。

調查人員在另外12,873條未支付的結賬記錄中發現了敏感信息。

對此，Keystone已將數據保留期縮短至90天。

Keystone還於10月26日披露，攻擊者竊取了用於證明設備真實性的WebAuth密鑰，並將入侵行爲歸咎於第三方監控工具中的一個漏洞，該漏洞使攻擊者得以提升訪問權限。Keystone最初於10月20日發現該異常活動。

由於該密鑰在製造過程中被燒錄到每臺設備中且無法覆蓋，Keystone計劃銷燬庫存中所有搭載該密鑰的18,835臺設備。新出廠的錢包將使用替換密鑰。

該公司已暫停處理網站上的待發貨訂單，並轉爲預售模式。

刪除承諾的有效性取決於持有數據的合作伙伴

值得注意的是，硬件錢包製造商並非唯一存儲客戶數據的一方。電商平臺和物流合作伙伴也會處理客戶的姓名、地址和訂單歷史，而最近的多數數據泄露事件正是發生在這一層面。

Trezor的數據泄露事件 在反覆書面保證後，其物流合作伙伴ShipMonk仍未能刪除記錄，導致SafePal觸及81,000名客戶 曝光了39,798名客戶的信息 通過訂單追蹤漏洞，並已將數據保留期縮短至90天。Ledger確認CryptoBilis轉售的設備中隱藏了能夠捕獲助記詞的芯片。Cryptopolitan援引鏈上研究人員的話稱， 估計損失 超過86百萬美元。

最聰明的加密領域人士已經在閱讀我們的通訊。想加入嗎？加入他們。