Keystone：设备验证密钥遭泄露，将销毁 18,835 台库存设备

Foresight News 消息，硬件钱包 Keystone 发布安全事件调查结果表示，攻击者利用官网所用第三方数据监测工具的漏洞提升权限，除获取部分客户信息外，还获取了用于验证设备真伪的 WebAuth 密钥，攻击者可能借此制造能通过验证的假冒设备。

Keystone 已停止使用旧密钥生产，将销毁库存中 18,835 台使用旧密钥的设备，并暂停官网所有未发货订单，改为预售模式。Keystone 表示，10 月 20 日前收到的设备通过验证即可正常使用；10 月 20 日后收到的旧密钥设备即使通过验证，也需联系客服进一步核验，Keystone 不会要求用户退回设备。

此次事件涉及 25,964 条仍含个人信息的 Shopify 购买记录，时间跨度为 2024 年至 2026 年，以及 12,873 条未完成支付的结账记录。Keystone 称，按其数据政策这些信息本应在 180 天后删除，但因自动删除工具运行失败而超期保留，现已将个人信息保留期限缩短至 90 天。

Foresight News 此前消息，Keystone 于 10 月 20 日检测到官网遭未授权访问，并确认第三方获取了用户姓名、联系方式、收货地址及订单详情，助记词、私钥及支付信息均未泄露。