核心摘要

加密硬件钱包厂商 Keystone 确认其网站发生安全事件，攻击者获取了客户下单与收货相关数据，其中包含收货地址。多名受影响客户指出，被泄露的部分正是公司声称在多数情况下于订单完成后一百八十天内自动删除的信息，这一删除承诺的可信度受到质疑。Keystone 表示用户的助记词本身未受影响。

事件的性质因此被划得很清楚。链上资产没有暴露，被拿走的是一份把真实姓名、家庭住址与数字资产持有量联系在一起的清单。这类清单在传统犯罪中的价值早已被反复验证，而它对自保护设备厂商而言，恰恰位于过去几乎无人认真审视的那一段链路——从下单、支付、清关到派送。

事件详情

  • 入侵确认：Keystone 已确认其网站发生安全事件，公司订单系统中的客户数据被非法获取。
  • 泄露内容：受影响客户在多个渠道指出，被拿走的是订单数据与收货信息，其中包括配送地址与发货相关细节。
  • 助记词未受影响：Keystone 明确表示，用户的助记词与私钥并未被此次入侵触及，链上资产不受影响。
  • 删除承诺受质疑：公司此前表示，在多数情况下会在订单完成后一百八十天自动删除客户信息。受影响客户称泄露内容中包含了应当已被删除的部分，社交平台上的用户也对这一承诺提出了怀疑。
  • 规模背景：另有报道梳理了二〇二六年内多起硬件钱包厂商的数据暴露事件，涉及买家数量接近十二万人，Keystone 事件被置于这一更大序列中讨论。
  • 媒体跟进：The Block 等多家加密垂直媒体在事发后数小时内跟进报道。

多方观点比对

厂商方面的说法是，助记词始终保存在用户设备本地，服务器端被攻破并不会直接触及密钥，因此从资产安全的角度看事件影响有限，公司的删除策略则是出于降低长期数据留存风险的合规考量。

受影响用户的看法更为尖锐。他们的核心质疑是：既然公司把自动删除作为一项面向消费者的承诺公开宣传，那么承诺的可验证性就应当成为产品的组成部分，而不是只由公司单方陈述。对居住地、姓名与资产偏好同时被掌握的人而言，一份收货地址清单足以成为针对个人与家庭的高精度施压材料。

安全研究者的观察指出，问题不止于这一次入侵。硬件钱包厂商的安全叙事长期集中在密钥管理与固件签名上，把采购与物流环节当成纯粹的商业流程对待。但这条链路上流动的恰恰是身份信息最密集的部分。当行业把宣传重点放在"你的密钥从不离开设备"，而忽略"你的住址可能与你的钱包数量一起躺在某台服务器上"时，受害者面对的风险与产品宣传塑造的印象之间就出现了明显落差。

全景透视

这次事件真正划开的，是数字资产安全叙事中的一道长期裂缝。多年来，硬件钱包的行业标准是把安全承诺收缩到极小的范围：私钥在设备内生成、永不离开设备、固件可验证。这套叙事本身是成立的，也是正确的。但它同时在用户心中建立了一个根深蒂固的印象——买了硬件钱包，身份与财务信息就与普通网购无异。

而现实是，硬件钱包的购买路径本身就是一个标准的电商流程：姓名、地址、电话、支付信息、收货时间窗口，一样不少。这些数据在服务器上停留多久、以什么形式存储、能否被彻底删除，长期以来都被当作后台合规问题处理，而前台销售话术里几乎不提。当一次入侵把这些原本分散在订单系统与物流系统中的碎片拼成一张完整画像时，用户才第一次意识到，安全边界其实有内外两圈，而厂商一直只加固了内圈。

更值得警惕的是删除承诺的证明难题。一百八十天自动删除这类表述，本质上是一个负向承诺——它保证的是某件事"没有发生"。而对没有发生的事情，验证成本远高于验证发生过的事情。一份可以被第三方抽查、可被客户请求回执、可在日志中留痕的删除记录，与一句官方声明之间的差别，正是这次争议的全部焦点。

对整个行业来说，这次事件的溢出效应可能比事件本身更重要。当越来越多用户把"链上资产"与"现实身份"的连接交给少数几家硬件厂商时，这些厂商实际上承担了金融机构的角色，却没有承担金融机构受到的监管强度、审计强度与保险强度。安全事件发生在错误的地方，受影响的不是抽象的数据，而是拿着这笔钱去做生意、持有家庭唯一一份长期储蓄、或担心被注意到的人。

编辑：GoodInfo全球资讯组