Keystone 最初披露了客户信息泄露的情况，但后来又透露，黑客还窃取了一把可以让假冒钱包通过真实性检查的密钥。
硬件钱包制造商 Keystone 表示，上周入侵其网站的攻击者还窃取了用于验证其设备真实性的密钥，扩大了最初被披露为客户数据泄露的事件范围。
Keystone 在周一的一份声明中表示，被盗的身份验证密钥可能使攻击者能够生产通过真实性检查的假冒钱包。
Keystone 表示：“这些设备随后可以出售或运送给客户，客户可能在不知情的情况下将它们当作正品使用，从而可能导致资产被盗。”
该事件加剧了今年针对硬件钱包制造商的一系列攻击。
本月早些时候，有报道称在该地区销售的设备含有能够捕获恢复短语的未经授权的植入物，Ledger 要求东南亚和香港的经销商暂停销售。
7 月下旬，Coldcard 制造商 Coinkite 向用户发出警告，因为攻击者利用了一个漏洞，该漏洞导致其设备生成的钱包种子的熵低于预期，导致数百万美元的加密货币被盗。
Keystone 将销毁超过 18,000 台使用旧密钥的设备
Keystone 在最新更新中表示，攻击者利用其网站使用的第三方监控工具中的漏洞来升级权限。
“这使得攻击者能够获得一些客户信息和用于验证我们设备真实性的密钥。”
Keystone 表示，计划销毁库存中 18,835 台包含泄露密钥的设备，并已暂停使用该密钥的所有设备的生产发货。
该公司表示，一旦开始生产带有新身份验证密钥的设备，发货就会恢复。
Keystone 表示，10 月 20 日事件之前制造和交付的设备应被视为安全，其真实性检查仍然值得信赖。
但是，它无法保证该日期之后交付的设备的真实性，并敦促受影响的客户联系其支持团队进行进一步验证。
Keystone 确认 25,964 条买家记录遭泄露
Keystone 还披露了客户数据泄露的严重程度，称其网站的 Shopify 商店已生成 51,083 条买家记录。
其中 25,119 条已根据 180 天数据保留政策被删除。
然而，2024 年至 2026 年剩余的 25,964 条记录被攻击者窃取。 Keystone 表示，由于用于处理批量删除数据的自动化工具出现故障，较旧的条目未被删除。
“该工具运行不可靠。一些擦除任务失败，我们没有及时发现并解决这些失败，导致某些个人信息的保留期限超出了允许的期限，”Keystone 表示。
此外，攻击者还成功窃取了 Shopify 保留的另外 12,873 条客户结账记录——来自尚未完成的购买的信息。
Keystone 表示，已联系 Shopify，要求删除保留超过 30 天的结账记录中的个人信息。
该事件与 2020 年 6 月 Ledger 的数据泄露事件相呼应，该事件泄露了超过 100 万个电子邮件地址，以及客户姓名、电话号码和实际地址。泄露的信息助长了多年来针对受影响用户的网络钓鱼尝试。
其他硬件钱包制造商今年也遭遇了涉及客户信息和第三方服务的泄露。
8 月份，Trezor 披露了其运输合作伙伴的一次违规行为，导致客户信息泄露，受影响的用户数量在 9 月份扩大到超过 80,000 名。
SafePal 还在 8 月份报告了一个订单跟踪漏洞，该漏洞暴露了近 40,000 名客户的数据，而 BitBox 则成为 9 月份涉及受感染第三方电子邮件提供商的网络钓鱼活动的目标。