比特幣硬體錢包製造商 Keystone 表示，一旦攻擊者獲得用於證明其硬體為正品的密鑰後，該公司將銷毀 18,835 個未售出的設備。該公司還已暫停其網站上所有尚未發貨的訂單的出貨。

對買家而言，風險在於可能出現一種看起來嶄新，且能通過 Keystone 自身驗證檢查的假錢包，因為攻擊者取得了該檢查所依賴的密鑰。犯罪分子隨後可能把這類設備賣給會將真實資產裝入其中的用戶。

Keystone 在聲明中表示：「如果該密鑰外洩，攻擊者就能用它製造出能夠通過認證檢查的假冒設備。這些設備隨後可能被出售或寄送給客戶，客戶可能在不知情的情況下將它們當作正品使用，最終導致資產被盜。」

Keystone 将這個密鑰稱為 WebAuth key，也就是在每臺設備中寫入的秘密代碼，網站上的頁面可以依此確認硬體是否真實。這個密鑰無法被擦除或重寫，庫存中攜帶這個密鑰的 18,835 台設備將被銷毀，而不是出售。

Keystone 最初在周六表示，第三方已獲取了客戶的運輸信息。週一的聲明又補充說，除了被盜的密鑰外，還有25,964條受影響的買家記錄，但公司並未說明責任方是誰，也沒有說明攻擊者何時首次入侵。

此次事件影響的是 Keystone 的 Shopify 商店記錄，該電子商務平台負責其線上銷售。 Keystone 表示，共有 51,083 条買家記錄受到影響，但其中 25,119 条的個人信息已被刪除，剩餘 25,964 条來自 2024 年至 2026 年，仍保留姓名、聯絡方式、收貨地址和訂單信息。通過亞馬遜及其他渠道的購買未受影響。

其中部分數據本應已被刪除。Keystone 的政策是在 180 天後刪除買家記錄，但公司為此開發的自動批量刪除工具並不穩定。

Keystone 表示：「有些刪除任務失敗了，我們未能及時發現並處理這些失敗，導致某些個人信息在允許的期限之外仍被保留。我們未能按時履行刪除客戶數據的承諾，並為此失敗承擔責任。」

客戶名單一直是錢包製造商的一個反複出現的弱環。Ledger在2020年的資料洩露最終波及約29.2萬名客戶，而那些隨後收到釣魚郵件的人擔心自己可能成為入室搶劫的目標。

Trezor 和 SafePal 也在 8 月份分別披露了客戶資料洩露事件，影響了 13,689 名客戶和約 39,798 名客戶。

姓名和地址之所以重要，是因為存在「扳手攻擊」——犯罪分子通過威脅或暴力迫使持有人交出其加密資產。Chainalysis 的統計顯示，2026年上半年共發生46起暴力襲擊，盜走資金超過3,000萬美元。

該製造商還警告稱，騙子可能會提供所謂的「資產遷移」、「錢包驗證」或「調查協助」。

公司表示：「我們不會要求你退還設備。任何以『召回』為由聯絡你並要求你將設備寄給他們的人，都應該被視為騙子。」

Keystone 網站上的銷售將改為預售，直到使用新密鑰生產的設備完成為止。公司還表示，已向歐盟、英國及其他司法管轄區的監管機構提交報告。

Keystone 已將客戶數據的保留期限從180天縮短至90天，并於10月24日要求Shopify刪除所有逾期保存的買家數據。該流程有10天的等待期，公司預計刪除工作將在11月3日完成。