加密钱包制造商Keystone因安全漏洞将销毁近1.9万台设备

硬件钱包制造商Keystone表示，由于网站遭入侵导致客户信息及一枚可用于让仿冒钱包通过真伪校验的密钥泄露，公司将销毁近1.9万台未售出设备，并暂停发货。 Keystone周一在X平台发文称，攻击者于10月20日利用第三方数据监控工具中的一个漏洞进入公司网站。此次攻击暴露了2024年至2026年间的25,964条买家记录，涉及姓名、联系方式、收货地址和订单信息。另有12,873条未付款结账记录可能受到影响。 此次泄露令今年针对硬件钱包用户的一系列攻击再添一例。在Ledger事件中，犯罪分子在东南亚经销商销售的设备中加装隐藏组件，在设备设置过程中窃取恢复短语。类似地，Coldcard的种子生成软件存在漏洞，使攻击者能够重建私钥并远程清空钱包。 据Keystone介绍，被盗密钥在生产过程中被内置到设备中，且无法更改。它可让钱包通过在线真伪校验，从而提高仿冒设备被误认为正品的风险，危及用户资金。公司表示将销毁18,835台未售出设备。 Keystone称，此次泄露未暴露恢复短语、私钥或钱包凭证。 Keystone表示，按照其180天数据留存政策，部分客户记录本应被删除，但自动删除工具发生故障，而公司未能发现该问题。 Keystone写道：“我们未能履行按时删除客户数据的承诺，并对此承担责任。” Keystone发布上述更新前一天，硬件钱包制造商Foundation披露了另一起泄露事件，攻击者发送了看似来自其官方域名的钓鱼邮件。 Foundation表示，已识别出超过23,000次钓鱼邮件尝试，且未发现Passport设备或私钥遭到泄露的证据。 Foundation还发现了一些被其60天数据删除流程遗漏的旧数据库副本。该公司在更新中称，攻击者可能访问了包含约5,600个邮寄地址和5,200个电话号码的记录，但无法确认实际访问数量。 Keystone表示，10月20日前交付的设备若通过认证，仍可安全使用；而在该日期之后收到使用旧密钥设备的客户，应在使用前寻求进一步检查。 公司称，用户无需仅因此次泄露而转移资金，并警告不要相信虚假的召回或资产迁移信息。 Keystone还表示，将在新设备中更换认证密钥，将网站销售转为预购模式，并把客户数据留存期缩短至90天。