Keystone这事，最该让人皱眉的不是那2.6万条买家信息，是"验真"这一步直接废了。
10月26日官方更新：10月20日被搞的那次，入口是官网一个第三方监控工具，攻击者顺手把WebAuth key也拿走了。这把key是出厂烧进设备的，改不了。它签不了名、生成不了助记词，所以官方和一堆快讯号第一句都是"私钥资金安全"。
话术没错，但避重就轻。硬件钱包卖的是什么？就是"你手里这台是真的"。现在官方验真页面能被假货骗过去，18,835台旧key的库存只能销毁，10月20日之后收到货的还得自己去找客服确认。
翻译一下：泄露的是你的姓名、电话、收货地址，丢的是"真机证明"。骗子知道你买了什么、住哪，理论上还能做一台能过官方检查的机器寄给你。这比单纯丢个邮箱表危险多了。
前两天还有快讯号复读"影响有限"。另外X上已经有一批号用同一句"What if a hardware wallet's genuine check can be forged?"在刷，连标点都差不多，蹭热度的也别当真。
我的态度很简单：硬件钱包只从官方渠道买，收到任何"召回""换新""升级"都当诈骗处理。Foundation那边刚有人拿官方域名发假召回邮件，这条路骗子已经走通了。
#Keystone #硬件钱包
10月26日官方更新：10月20日被搞的那次，入口是官网一个第三方监控工具，攻击者顺手把WebAuth key也拿走了。这把key是出厂烧进设备的，改不了。它签不了名、生成不了助记词，所以官方和一堆快讯号第一句都是"私钥资金安全"。
话术没错，但避重就轻。硬件钱包卖的是什么？就是"你手里这台是真的"。现在官方验真页面能被假货骗过去，18,835台旧key的库存只能销毁，10月20日之后收到货的还得自己去找客服确认。
翻译一下：泄露的是你的姓名、电话、收货地址，丢的是"真机证明"。骗子知道你买了什么、住哪，理论上还能做一台能过官方检查的机器寄给你。这比单纯丢个邮箱表危险多了。
前两天还有快讯号复读"影响有限"。另外X上已经有一批号用同一句"What if a hardware wallet's genuine check can be forged?"在刷，连标点都差不多，蹭热度的也别当真。
我的态度很简单：硬件钱包只从官方渠道买，收到任何"召回""换新""升级"都当诈骗处理。Foundation那边刚有人拿官方域名发假召回邮件，这条路骗子已经走通了。
#Keystone #硬件钱包