Keystone 这份事故通报值得所有硬件钱包用户细读：真正危险的不只是助记词是否触网，而是“证明设备为真”的那把验证密钥可能被复制。
攻击者利用 Keystone 官网第三方数据监测工具的漏洞提升权限，获取部分客户信息，以及用于验证设备真伪的 WebAuth 密钥。理论上，攻击者可能制造出能通过官方验证的假冒设备。
Keystone 已停用旧密钥生产，将销毁库存中 18,835 台旧密钥设备，并暂停官网未发货订单、改为预售模式。10 月 20 日前收到且验证通过的设备可正常使用；10 月 20 日后收到的旧密钥设备，即使验证通过，也需联系客服进一步核验。官方不会要求用户退回设备，更不会索取助记词。
好消息是，助记词、私钥和支付信息均未泄露。但姓名、联系方式、收货地址及订单详情被获取，涉及 25,964 条仍含个人信息的 Shopify 购买记录和 12,873 条未完成支付的结账记录。用户接下来要重点防范冒充客服、售后和物流的精准钓鱼。
硬件钱包可以离线，品牌官网、第三方脚本和供应链却始终在线。安全，从来不是设备插上电那一刻才开始。
#Keystone #硬件钱包 #网络安全
攻击者利用 Keystone 官网第三方数据监测工具的漏洞提升权限，获取部分客户信息，以及用于验证设备真伪的 WebAuth 密钥。理论上，攻击者可能制造出能通过官方验证的假冒设备。
Keystone 已停用旧密钥生产，将销毁库存中 18,835 台旧密钥设备，并暂停官网未发货订单、改为预售模式。10 月 20 日前收到且验证通过的设备可正常使用；10 月 20 日后收到的旧密钥设备，即使验证通过，也需联系客服进一步核验。官方不会要求用户退回设备，更不会索取助记词。
好消息是，助记词、私钥和支付信息均未泄露。但姓名、联系方式、收货地址及订单详情被获取，涉及 25,964 条仍含个人信息的 Shopify 购买记录和 12,873 条未完成支付的结账记录。用户接下来要重点防范冒充客服、售后和物流的精准钓鱼。
硬件钱包可以离线，品牌官网、第三方脚本和供应链却始终在线。安全，从来不是设备插上电那一刻才开始。
#Keystone #硬件钱包 #网络安全