硬件钱包管得住私钥，管不住Shopify上的门牌号。
Keystone官方@KeystoneWallet 10月24日道歉：10月20日发现官网未授权访问，核对Shopify API后，10月23日确认第三方拿走了客户物流信息。暴露的是姓名、联系方式、收货地址和订单明细（买了啥、多少钱）；银行卡、助记词、私钥、钱包密码称没丢。已封堵、修漏洞、开调查，并给受影响客户发邮件。详细报告还在写，受影响人数没说。
更扎心的一点：Keystone一直拿「下单180天删物流信息」当卖点。The Block 10月25日报道，有用户称订单已超180天甚至两年前，仍收到通知；公司对是否严格执行该政策暂未公开回应。官方同时警告：电话/短信/邮件/快递冒充退款、换机、改地址的，都不是他们；别点陌生链接，别把助记词输进不是自己下单的设备。
今天早些时候Passport是官方域名钓鱼，Keystone是网店物流库。自托管护的是链上$BTC钥匙，收货地址是另一张纸。