裝置金鑰遭竊，Keystone 被迫銷毀近 19,000 個錢包

Keystone 宣布，由於攻擊者取得用於驗證裝置真偽的金鑰，將銷毀近 19,000 個尚未出貨的硬體錢包。

週六，Keystone 在 X 上發文承認客戶出貨資料可能外洩，範圍涵蓋「姓名、聯絡資訊、出貨地址以及訂單詳細資料（品項與價格）」。

在客戶舉報一通利用 Keystone 訂單資料的「社交工程」電話後約 18 小時，Keystone 發布了這項承認。

雖然付款資料與錢包金鑰並未外洩，但 Keystone 警告用戶要提防冒充其員工的詐騙者，這些詐騙者「提供退款、更換裝置，或針對你的訂單或地址進行『修復』」。

我們向您道歉。

在 10 月 20 日，我們偵測到官方網站遭到未經授權的存取。在與 Shopify 驗證 API 活動後，我們於 10 月 23 日確認第三方取得了客戶出貨資訊。您信任我們這些資料，我們很抱歉我們…

— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026

Keystone 先前承諾「下訂後 180 天，您的出貨資料將被永久刪除。」然而，第一個通報此可能外洩的用戶表示其裝置是在 2024 年購買的。

該公司隨後將受影響的記錄數更新為近 26,000 筆，僅限於其官方網站的 Shopify 訂單——此外還有 13,000 筆包含部分訂單詳細資料的不完整購買記錄。

Keystone 表示，另有 25,000 筆記錄已「根據我們的資料保留政策永久刪除…」。不過，該公司承認其自動刪除系統「未能可靠運作…導致某些個人資訊保留超過允許期限」。

更新內容進一步揭露，令人擔憂的是，「攻擊者也取得了我們用來驗證裝置是否為正品的 WebAuth 金鑰」。

未來的 Keystone 錢包將使用全新的金鑰。出貨已暫停，直到更換完成，而目前未出貨庫存中約有 19,000 個單位將被銷毀。

Foundation Passport 因資料移轉失敗而受影響

從週一早些時候開始，X 上的報導指出網路釣魚電子郵件針對 Foundation Passport 用戶。截圖顯示有關顯示模組的恐嚇手法，明顯是受到近期 Ledger 裝置遭入侵的啟發。

Foundation 確認這些「垃圾郵件」源自其官方網域，並將問題追溯至「Cloudflare 上一個或多個遭入侵的 API 金鑰」。

Foundation 也曾向客戶保證，用戶資料會在 60 天後「自動」刪除。

該公司的最新聲明指出，透過其系統發送了超過 20,000 次網路釣魚嘗試，但「仍在確認」有多少用戶的個人資料遭到曝光。

關於 60 天刪除政策，Foundation 表示其前供應商 WooCommerce 確實清除了訂單資料。但在「過去的資料庫移轉過程中」，只有新表格被編輯處理，而「舊副本仍包含個人資訊」。該公司補充指出，透過 Shopify 的新訂單「可能也遭到曝光」。

其他安全問題引發關注

至少可以說，硬體錢包持有者近期經歷了艱難的時期。

雖然冷儲存被廣泛認為是持有加密資產最安全的方式，但一連串的安全事件已導致重大損失與資料外洩，可能使用戶長期保持警惕。

合計起來，Ledger 間諜軟體事件與 Coldcard 種子生成漏洞造成了超過 2 億美元的損失。

我們正在調查為何此帳號發布了一則含有網路釣魚連結的貼文。該貼文已遭刪除。

請勿訪問或與該連結互動。COLDCARD 的唯一官方網站是 https://t.co/veUyheguQW。

此帳號使用了離線雙重驗證，且限制嚴格… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) October 11, 2026

近期更多資料外洩事件來自慣犯 Ledger、其主要競爭對手 Trezor 以及 SafePal。

在用戶遭受重大損失之後，Coldcard 的 X 帳號本月稍早被接管，對其 67,000 名追蹤者推送網路釣魚詐騙。

雖然這本身不算是資料外洩，但此事件特別難堪，因為它發生在 Coldcard 嘗試利用 Ledger 的負面消息、發表關於自家透明外殼錢包的挑釁貼文之後僅兩天。