设备认证密钥被盗后，Keystone将销毁18,835台硬件钱包

在攻击者获取用于验证其设备真伪的密钥后，Keystone计划销毁18,835台尚未售出的硬件钱包。该公司于10月26日披露了此次事件的更广泛范围，其中包括对其在线商店客户信息的访问。

Keystone支持多款Cardano钱包，包括Lace和Eternl。Lace在8月新增对Keystone的支持，允许用户在硬件设备上批准交易的同时管理Cardano资产。

网站入侵导致设备验证密钥曝光

Keystone于10月20日发现其官方网站出现异常访问。调查显示，攻击者利用该网站所用第三方数据监测工具中的一个漏洞，获取了更高权限，并访问了客户信息和设备认证密钥。

受影响的WebAuth密钥在生产过程中被写入设备，且无法擦除或替换。Keystone通过其认证页面使用该密钥来验证设备是否为真品。

据该公司称，持有该密钥可能使攻击者制造出能够通过认证检查的伪造设备。Keystone已在生产中停止使用旧密钥，并计划销毁库存中所有包含该密钥的18,835台设备。

该公司还暂停了其官方网站上未履行订单的发货。销售将转为预购模式，直至配备新认证密钥的设备生产完成。

Keystone就现有设备发布指导

Keystone解释称，认证密钥仅用于验证设备真伪。它不用于生成助记词、派生私钥或签署交易。

该公司表示，此次事件未涉及助记词、钱包私钥或其他钱包凭据。公司补充称，客户无需仅因本次泄露而转移其资产。

对于10月20日之前交付的设备，Keystone称其认证不受影响。只要通过该公司的认证检查，在此日期之前交付的设备即可被视为真品。

10月20日之后收到且使用旧密钥的设备需要额外验证。Keystone警告称，伪造设备可能通过现有检查，并建议持有者在使用前联系客户支持。

Lace通过二维码连接Keystone，交易在硬件钱包上被批准并签名。私钥保留在设备上，而不会出现在连接互联网的屏幕上。

[NEWSBREAK]

客户记录与数据留存

此次入侵涉及通过Keystone官方网站的Shopify商店完成购买的记录。公司发现，2024年至2026年的25,964条买家记录仍包含个人信息，包括姓名、联系资料、收货地址和订单信息。

另有25,119条买家记录在未授权访问发生前已被匿名化。Keystone还将12,873条未付款结账记录纳入其事件响应，因为其中包含用户在结账时提交的信息。该公司称，来自Amazon和其他销售渠道的购买信息未受影响。

Keystone承认，由于其自动删除工具未能完成某些任务，部分客户信息被保留时间超过了此前的180天上限。公司已将留存期缩短至90天，并预计Shopify将于11月3日完成对逾期数据的删除请求。

该公司计划逐一通知受影响客户，并提供一个页面供用户查询其信息是否被曝光。Keystone还提醒警惕声称提供资产迁移或要求退回设备的欺诈信息，并表示不会要求客户寄回设备。