Keystone这次泄露，我最想骂的不是黑客，是一家卖冷钱包的公司，把买家的收货地址存了两年。

10月20日发现异常，23日才确认。按X上的汇总：25,964条客户记录，名字、联系方式、收货地址、订单全在里面，另外还有12,873个没付款的弃单。口子出在官网的第三方工具，有人指向Shopify API。更离谱的是设备验证用的WebAuth密钥也被拿走了，结果直接销毁18,835台库存，新货改预售，等4到6周。

官方反复强调助记词和私钥没事。对，芯片没事。但你家门牌号现在躺在别人的表格里，备注栏等于写着“此人有币”。CertiK的数据，今年上半年确认的扳手攻击52起，同比多了33%。人家根本不用破你的芯片，敲门就行。

出事之后宣布数据只保留90天，早干嘛去了。

买硬件钱包别填真名真地址，能自提就自提，能走代收点就走代收点。今年这不叫被害妄想，叫基本操作。

#Keystone #冷钱包