硬件钱包安全，不只关乎助记词。

Keystone 公布官网入侵调查：攻击者利用官网第三方数据监测工具漏洞提权，除接触客户信息外，还拿到了用于验证设备真伪的 WebAuth 密钥，理论上可制造通过官方验证的假冒设备。

应对措施：
1. 旧密钥已停止用于生产，库存中 18,835 台旧密钥设备将全部销毁；
2. 官网未发货订单暂停，改为预售模式；
3. 10 月 20 日前收到、验证通过的设备可正常使用；之后收到的旧密钥设备即使通过验证，也要联系客服进一步核验；
4. 官方不会要求用户退回设备。

数据方面，事件涉及 25,964 条仍含个人信息的 Shopify 购买记录，以及 12,873 条未完成支付的结账记录。部分信息因自动删除工具故障，未按 180 天政策清除；Keystone 已将保留期缩短至 90 天。

好消息是，助记词、私钥和支付信息未泄露。但用户仍需警惕针对姓名、地址和订单信息的精准钓鱼。购买硬件钱包，官网也未必等于绝对安全。

#Keystone #硬件钱包 #网络安全