Keystone两周内第三次披露Nexus App遭网络攻击

在网络攻击导致部分应用服务中断后，Keystone 已通知用户将其 Nexus 应用更新至 1.3.7 版本。

这是该硬件钱包制造商在大约两周内发布的第三份安全披露声明。

Nexus 应用攻击与 v1.3.7 修复方案

Keystone 发布于 X 平台 11 月 6 日（星期五），部分 Nexus 应用服务遭网络攻击，且多名用户一度无法运行该应用。

公司表示团队已作出响应并加强了服务器安全性。其调查结果显示，"未发现用户资产或个人信息受到影响"。

Keystone 对造成的中断表示歉意，并指引用户将应用更新至 v1.3.7 版本。该公司还提醒用户确认所下载的应用程序中列出的开发者为“Yanssie HK Limited”。它表示，任何未列出该开发者的应用程序均非其官方产品。

一起导致 25,964 买家记录泄露的商店数据泄露事件

首次披露是在 Keystone 承认入侵者已访问其 由 Shopify 驱动的在线商店.

未经授权访问于 10 月 20 日被发现。该公司证实，第三方于 10 月 23 日获取了客户配送数据，并于次日公开了这一信息。

被盗记录中包含姓名、联系方式、配送地址以及订单信息（例如买家购买了哪些设备）。

该公司表示，支付卡、银行详情、恢复短语和私钥并未泄露。

据报道，被盗记录中包含 25,964 条来自 2024 年至 2026 年购买的买家记录。作为预防措施，该公司还统计了 12,873 条未完成的结账记录。

家庭住址泄露，安全研究员泰勒·莫纳汉指出这可能导致持有者面临“扳手攻击”的风险，这是一种通过人身威胁强迫用户交出加密货币的手段。

加密安全平台 Certik 在 2026 年上半年追踪到 52 起此类攻击事件，而前一年仅记录了 39 起。

18,835 钱包面临销毁风险

Keystone 在披露用户记录被盗几天后再次成为新闻焦点，该公司表示，同一攻击者还窃取了其设备用于证明真实性的 WebAuth 密钥。

据报道，攻击者利用网站第三方监控工具中的漏洞提升权限，随后获取了客户数据和该密钥。

主要问题在于，该密钥在制造过程中被烧录到每个设备中，无法重写。

任何拥有该密钥的人都可以制造出能通过 Keystone 自身真实性验证的假冒设备。Keystone 决定报废所有 18,835 台携带该受损密钥的未售出设备。

该公司表示，在10月20日之前交付且通过验证的钱包为正品。对于在此日期之后收到的旧密钥设备，公司“无法完全排除其为假冒产品的可能性”，并建议此类用户在启用前联系支持团队。 

截至目前，尚未报告任何假冒设备或盗窃事件。

删除工具失效后，数据保留期缩短至90天

Keystone曾宣称将在订单生成180天后清除运输数据。然而，有客户反映收到了涉及两年多前购买记录的泄露通知。

该公司的自动擦除工具发生故障，导致旧记录未被清除而继续留存。

随后，Keystone将其 数据保留期缩短至90天 作为应对措施。它还要求Shopify删除超过该期限的个人数据，预计逾期记录将于11月3日前被彻底清除。

竞争对手 OneKey也限制了自身的数据保留期 在Keystone事件后将保留期调整为30天。

2026年，许多加密货币项目在应对网络攻击方面遭遇了严峻挑战。硬件钱包提供商也未能幸免。

今年8月，一起影响Trezor物流合作伙伴ShipMonk的数据泄露事件波及约8.1万名客户。

SafePal 因订单追踪漏洞泄露了约 39,798 个设备，而 Ledger 在二手设备中发现了隐藏芯片，链上研究人员将其与超过 8600 万美元的损失联系起来。