Keystone 要销毁 18,835 台硬件钱包：网站被攻破，泄露了「验真钥匙」

一家卖钱包的公司，因为网站被黑，要亲手砸掉近两万台自己的钱包。

三个关键信息

Keystone 宣布销毁 18,835 台未售出设备并暂停发货。 据 CoinDesk 报道，攻击者 10 月 20 日通过第三方数据监控工具的漏洞进入公司网站。泄露内容含一把出厂烧录、无法更改的「验真密钥」——它影响钱包能否通过线上真伪校验，等于让假设备有机会被认成真货。

同时泄露的还有用户数据。 本次事件曝光了 2024 至 2026 年间的 25,964 条买家记录，含姓名、联系方式、收货地址与订单信息；另有 12,873 条未付款结账记录可能受影响。Keystone 承认，部分记录本该按 180 天保留政策删除，但自动化删除工具失效，公司没能及时发现。

这不是孤立事件，而是一整条链的系统性脆弱。 今年硬件钱包用户已连遭攻击：Ledger 经东南亚分销商售出的设备被植入隐藏元件，在设置时截取助记词；Coldcard 的助记词生成软件漏洞让攻击者可远程重建私钥。Keystone 强调，本次泄露不含助记词与私钥。

王斗视角

先把这件事最反常的地方点出来：出问题的是「网站」，销毁的是「设备」。这两个东西之间隔着生产的整条链路——而那条链路上，有一把出厂就烧死、永远改不了的钥匙。这意味着这次事故没有「打补丁」这个选项，只有「砸掉重来」。硬件安全的残酷就在这：软件可以热修，固化在硅片上的信任，只能物理报废。

第二件是那条 180 天删除承诺。它没被攻破，是「失效了但没人发现」——自动删除工具默默挂掉，公司不知情。这种失败比被黑更可怕，因为它没有警报。写了规定、塞进脚本，然后就当它一直在跑。所有合规承诺的软肋都在这里：承诺写在纸上，执行靠自动化，而自动化没人盯。

第三点是这一年的规律。Ledger 栽在分销商，Coldcard 栽在代码，Keystone 栽在网站——三家公司，三个完全不同的环节，全部失守。这说明「买硬件钱包 = 安全」是一个被过度简化的结论：你买的不是一块安全的铁，你买的是一整条链——生产、固件、分销、官网、客服数据库——而安全水位，取决于最弱的那一环。今天最弱的那环，是一家公司外包给第三方的数据监控工具。

来源：CoinDesk · Keystone 声明