Keystone 資安事件加劇：駭客竊取用於驗證錢包真偽的金鑰
Tapbit Wire硬體錢包製造商 Keystone 表示，上週入侵其網站的攻擊者還竊取了用於驗證裝置真偽的金鑰，使原本僅通報為客戶資料外洩的事件影響範圍擴大。
Keystone 於週一發布聲明指出，遭竊的驗證金鑰可能讓攻擊者製造能通過其真偽檢測的假冒錢包。
「這些裝置隨後可能被銷售或寄送給客戶，使用者若誤以為是正品而使用，恐導致資產遭竊。」Keystone 表示。
此事件是今年一連串針對硬體錢包製造商攻擊中的最新一起。
本月初，Ledger 因接獲通報指出東南亞與香港地區販售之裝置內含未經授權的植入程式（可竊取助記詞），已要求當地經銷商暫停銷售。
7 月下旬，Coldcard 製造商 Coinkite 在發現攻擊者利用漏洞導致裝置產生熵值不足的錢包種子、進而盜走數百萬美元加密貨幣後，向用戶發出警告。
Keystone 將銷毀逾 18,000 台使用舊金鑰的裝置
Keystone 在最新公告中表示，攻擊者利用其網站所使用的第三方監控工具漏洞提升權限。
「這使得攻擊者取得部分客戶資訊及用於驗證我方裝置真偽的金鑰。」
Keystone 表示將銷毀庫存中 18,835 台含受損金鑰的裝置，並暫停所有使用該金鑰裝置的出貨。
公司表示，待開始生產採用新驗證金鑰的裝置後，出貨將恢復。
Keystone 指出，於 10 月 20 日事件前製造並交付的裝置仍屬安全，其真偽驗證功能亦可信。
然而，對於該日期後交付的裝置，公司無法保證其真偽，並敦促相關客戶聯繫客服團隊進行額外驗證。
Keystone 確認共 25,964 筆買家資料外洩
Keystone 同時揭露客戶資料外洩範圍，指其 Shopify 網站商店共產生 51,083 筆買家紀錄。
其中 25,119 筆已依其 180 天資料保存政策刪除。
然而，2024至2026年間的其餘25,964筆紀錄可能已被攻擊者竊取。Keystone表示，舊資料未被刪除，是因其用於大量資料清除的自動化工具發生故障。
「該工具運作不穩定，部分清除任務失敗，而我方未能及時偵測並處理這些失敗，導致某些個人資料留存超過允許期限。」Keystone表示。
此外，攻擊者也可能存取了Shopify保留的12,873筆客戶結帳紀錄——即未完成交易的購買資訊。
Keystone表示已聯絡Shopify，要求刪除保存逾30天的結帳紀錄中所含個人資料。
此事件令人聯想到2020年6月Ledger發生的資料外洩事件，當時逾100萬個電子郵件地址，以及客戶姓名、電話號碼與實體地址均遭曝光。外洩資訊隨後引發多年針對受影響使用者的釣魚攻擊。
今年，其他硬體錢包製造商亦陸續發生涉及客戶資料及第三方服務的安全 breaches。
今年8月，Trezor揭露其物流合作夥伴遭入侵，導致客戶資料外洩；至9月，受影響用戶數擴增至逾8萬人。
SafePal亦於8月通報一項訂單追蹤漏洞，致使近4萬名客戶資料外洩；BitBox則於9月遭針對性釣魚攻擊，攻擊源於遭入侵的第三方電郵服務供應商。
專欄：儲存比特幣的5款Ledger替代方案
