黑客从Keystone的Shopify店铺窃取买家地址

硬件钱包制造商 Keystone 表示，一名入侵者突破了其基于 Shopify 的在线商店，窃取了客户姓名、联系方式、收货地址和订单记录，但并未获取支付数据、助记词或私钥。

发现于 20，确认于 23

这家总部位于香港的公司于 10 月 24 日（星期六）在 X 平台致歉，称其于 10 月 20 日发现官方网站遭到未经授权的访问，并在与 Shopify 核查 API 活动后，于 10 月 23 日确认第三方已获取客户的收货数据。

“你们将个人信息托付给我们，很抱歉我们未能妥善保管。”Keystone 写道。

Keystone 表示，被盗记录包括姓名、联系方式、地址以及订单信息（如购买的商品及价格），而助记词、私钥、钱包密码以及银行卡和银行账户详情均未受到侵害。

该公司表示已切断访问权限、修补漏洞、启动调查，并开始向受影响的客户发送电子邮件。截至目前，该公司未公布受害者人数、入侵途径或攻击者信息，但称将很快发布详细报告。

Keystone警告买家，冒充者可能会通过电话、短信、电子邮件或邮件联系他们，提供退款、新设备或针对订单/地址的“修复”方案。Keystone还提醒买家不要在未订购的设备上输入恢复助记词，并应手动输入keyst.one网址。

在Keystone公开回应之前，X平台用户@PEPE_Whale69于周五晚间报告了一起疑似数据泄露事件。该用户称接到一通电话，对方伪造了蒙特利尔警局的号码，询问其是否了解Amazon、eBay或Keystone。

帖子指出，来电者的信息与用户2024年的Keystone订单细节相符。Keystone于周六凌晨1:08（美东时间）作出回应，称已“对此事展开紧急调查”。

客户称超过180天的订单数据遭泄露

Keystone一直将数据删除作为其卖点之一。1月5日，即Ledger客户收到其电商合作伙伴Global-e发生数据泄露通知的同一天，Keystone 发布称：“订单完成后180天，您的运输数据将被永久删除。”

Keystone在三月曾表示：“其他硬件钱包会永久保存您的数据，而我们最多仅在180天内删除您的配送信息。”

周六，@trintaetres_33 表示，尽管他们购买设备已超过两年，但仍收到了泄露邮件。@BlockchainBarmy 称，其最后一次订单与此次泄露之间相隔了 214 天。

与该冒充电话相关的 2024 年订单也已超过 180 天，但 Keystone 尚未公开说明其是否遵循了自身政策，且所有客户的主张均未得到核实。

在其“隐私承诺”页面上，Keystone表示所有运输信息将在订单完成后自动删除，期限为180天。然而，在其最后更新于2021年5月的隐私政策中，它指出仅对过去180天内未下过订单的客户删除订单数据。

帮助中心的一篇文章指出，即使买家要求删除，城市和国家记录仍会被保留，最终由 Shopify 执行删除操作。

8 月，Trezor 表示其物流合作伙伴 ShipMonk 发生数据泄露，导致近 1.4 万名客户信息外泄，随后又将约 6.7 万名美国客户加入统计总数。

在 Trezor 首次披露后的几天内，SafePal 表示，由于其订单跟踪系统存在漏洞，导致近 4 万名客户信息暴露。

Cryptopolitan本月早些时候报道，Ledger确认CryptoBilis销售的钱包内部隐藏芯片会在设置过程中读取24词助记词，并通过LTE网络将其发送出去。链上研究人员估计损失超过8600万美元。

因此，从2027年1月1日起，Trezor将停止向部分经销商销售产品。

Keystone 钱包使用二维码来签署交易，因此无需 USB、蓝牙或 Wi-Fi 连接。此次黑客攻击影响了该公司的 Shopify 商店。