硬件钱包制造商Keystone表示，第三方从其基于Shopify的在线商店获取了客户的运输信息，暴露了敏感的客户信息，包括姓名、联系方式、收货地址和订单详情，如购买的商品及其价格。
Keystone在周六东部时间下午1：59的X帖子中表示，他们在10月20日检测到官方网站被未经授权访问。三天后，在“核实了与Shopify的API活动”后，该公司确认了一个未具名第三方获得了敏感客户信息。“你信任我们，把这些细节告诉我们，我们很抱歉没能保护好它们，”基斯通写道。
Keystone表示，客户的支付卡和银行信息，以及恢复短语、私钥和钱包密码等敏感加密信息未在此次泄露中泄露。
公司表示：“我们已屏蔽访问，修复漏洞，启动调查，并正在给受影响的客户发送电子邮件。”Keystone未透露有多少客户受到影响，攻击者是如何进入的，以及他们是否与攻击者进行了通信或确认身份。该公司在X上向询问泄露范围的用户表示，“仍在进行彻底调查”。基斯通表示，未来几天将发布详细报告。
Keystone警告说，骗子可能会冒充公司，通过电话、短信、电子邮件或邮寄提供退款、更换设备或订单和地址的“修复”。它告诉客户，绝不要在未订购的设备上输入恢复短语，也不要跟随所谓Keystone发送的消息链接。
Keystone承诺在购买后180天内删除信息
Keystone过去曾将其数据保留政策作为卖点。1月5日，也就是Ledger客户收到该钱包制造商电商合作伙伴Global-e发生类似数据泄露通知的当天，Keystone在X上发布消息：“订单后180天，您的运输数据将被永久删除。”公司在三月的一篇文章中写道：“其他硬件钱包会永久保存你的数据。我们会在最多180天内删除你的运输信息。”八月的其他帖子也强化了同样的信息。
公司的隐私承诺页面写着“所有运输信息将在下单后180天自动删除。”Keystone的隐私政策（最后更新于2021年5月）对规则的表述有所不同：它称Keystone会删除“过去180天内未下单的所有客户的所有订单信息”。关于删除请求的帮助中心文章澄清说，“客户所在城市和国家的记录不会被删除”，并且“最终删除流程由Shopify处理”。
客户声称旧订单的数据仍然被暴露
有几位客户在X上表示他们的数据还是被泄露了。“我两年多前买的。我收到了一封电子邮件通知，“@trintaetres_33周六写道。另一位用户@BlockchainBarmy表示，从他们上一次订单到泄露事件已经过去了214天。
@PEPE_Whale69甚至在Keystone之前就发出了可能的入侵警报。该用户周五晚上发帖称，一名冒充蒙特利尔警察号码的来电者试图对他们进行社交工程，甚至一度询问亚马逊、eBay或Keystone对他们“有意义”吗。X用户表示，来电者拥有的细节与他们在2024年下达的Keystone订单完全一致，远早于官方宣称的180天删除期限。
Keystone的X账户于周六东部时间凌晨1：08回复称已“对此事启动紧急调查”。该公司表示，已于10月23日确认了此次泄露事件。
该区块无法核实用户的说法，Keystone也未公开回应是否遵守180天政策的问题。该区块已向X用户发出更多信息请求。
最近一波硬件钱包泄露事件
Keystone是今年最新披露客户数据泄露的硬件钱包制造商。今年八月，Trezor表示其运输合作伙伴ShipMonk发生的泄露事件暴露了近14,000名客户的个人数据。公司随后表示，此次泄露影响了约67,000名美国客户，ShipMonk曾书面保证数据已被删除，但实际上并未被删除。
在Trezor首次披露几天后，SafePal表示其订单追踪系统存在缺陷，暴露了近4万名客户的个人信息。本月早些时候，Ledger 确认由经销商 CryptoBilis 销售的设备内置了在设置过程中捕捉恢复短语的硬件植入物，链上研究人员估计损失超过 8600 万美元。
