加密货币：黑客盗走了证明 Keystone 钱包为真品的密钥，该怎么办？

18 835 个全新的加密货币钱包，还原封不动地装在纸箱里，最终都将被送进粉碎机。这是Keystone在10月26日宣布的决定，这家公司生产的是那种用来把比特币保存在互联网之外的小盒子。它们没有坏，没有被动过手脚，甚至连划痕都没有。它们只是带着一把如今已被黑客知晓的密钥。

而这把密钥，正是用来证明某个Keystone盒子是真的那把密钥。

两个一模一样的盒子，再也没有可靠的办法判断哪一个是出厂的

先说个好消息：你的加密货币没事

硬件钱包，就是一个保存你加密货币秘密密钥的小设备，并且在签署付款时始终不会让密钥离开设备。在Keystone这里，它甚至不需要连接线：它通过屏幕上的二维码和你的手机交流。你安装它的那天，它会给你一串12个或24个单词，也就是“恢复短语”。这是你钱的主钥匙：谁拿到了这些单词，谁就拿到了你的加密货币。所以我们要把它们写在纸上，而不是写在手机的备忘录里，和购物清单、门禁密码混在一起。

这些单词不受影响。Keystone说得很明确：被盗的密钥既不能用来生成恢复短语，也不能用来签署任何东西。如果你的Keystone是在10月20日之前送到的，并且通过了官方验证页面上的真伪检查，你可以继续像以前一样使用它。呼。

“正品”印章落入了坏人手里

那么，到底被偷走的是什么？10月20日，有人利用另一家公司提供的监控工具中的漏洞，进入了Keystone的官方网站。从那里，他一路摸到了两件宝贝：网上商店里的客户资料，以及一把名为“WebAuth”的密钥。

Keystone会在工厂把这把密钥刻入每一个盒子。你在网站上验证设备时，是它回答“对，我确实是从Keystone出厂的”。这是证明正品的官方印章。有了这个印章在手，造假者就能制造一个经过改装的盒子，让它毫不费力地通过检查。一个被动过手脚的盒子，被放在小型网店或交易平台上出售，然后把你的恢复短语发送给它的制造者，而不是替你保管好。

有了官方印章，任何假货都能冒充正品

为什么要销毁18 835个全新的盒子？

因为这把密钥是永久刻上去的。它无法擦除，也无法重新写入，正是这一点让它可靠。因而库存中的所有设备都带着一把黑客已经知晓的密钥。还要把它们卖出去，就等于把真的设备和未来那些拥有完全相同签名的假货混在一起。再也没有人能分辨它们。

所以Keystone选择了强硬的做法：所有库存都送进粉碎机，网站订单中还没发出的部分暂停发货，并改为预订，直到新盒子带着新密钥从工厂出货。这会伤到钱包，真正的钱包，也就是公司的钱包。但这确实是正确的决定，很多公司恐怕会更愿意一边祈祷一边把库存卖掉。

18 835个什么坏事都没做，却带着错误密钥的盒子

对于10月20日之后送达的设备，Keystone要求你在使用前联系其客服。网站上的检查已经不够了，因为假货也能通过这一关。

这场本不该存在的泄露

第二批赃物，是客户。根据 Keystone 的说法，网站上 2024 年到 2026 年期间的 25,964 份买家资料：姓名、联系方式、送货地址和订单详情。还有 12,873 个弃置购物车，其中包含姓名和地址。没有银行卡，没有身份证件。在 Amazon 或其他零售商那里进行的购买不受影响。

然后，Keystone 承认了一件让我很恼火的事。这些资料本来就不该继续存在：公司的规定是保存 180 天后删除。原本应该由一个自动工具来处理，但它偶尔会崩溃，却没有任何人注意到。结果，那些本应在几个月前就消失的数据，在被盗当天仍然躺在服务器上。Keystone 已经要求其网店平台删除这些数据，预计在 11 月 3 日完成，并将保存期限改为 90 天。它在公告中还写道：“我们欠你们一个道歉。”

为什么一个地址会这么严重？因为在加密货币圈，一份硬件钱包买家名单，就是一份很可能在家里持有加密货币的人的名单。2020 年，法国竞争对手 Ledger 的 270,000 多名客户的地址被发布到了互联网上，其中一些人接连几个月收到诈骗信息、假包裹，甚至遭到威胁。9 月初 Trezor 客户资料泄露时我就说过这件事：套路始终一样，而骗子是会记住的。

Keystone 客户将会收到的那种信，最后会被扔进垃圾桶

如果你有 Keystone，或者本来打算买一个

三个要点，后两个适用于所有品牌：

• 你的 Keystone 在 10 月 20 日之前到货，并且通过了验证：什么都不用改变；如果是在这之后到货，先联系支持团队，就像前面解释过的那样；
• 你收到一封邮件、一条短信或一封信，提到“产品召回”、“迁移你的资金”或“验证你的钱包”：这是诈骗，Keystone 白纸黑字地说过，它绝不会要求你把设备寄回去；
• 不管是什么品牌，硬件钱包都只能在制造商网站或官方经销商那里购买，绝不要买二手货，也绝不要在谁都可以卖东西的交易平台上购买。

还有一条黄金规则，也是唯一真正能保护你的规则：任何人，永远都不需要你的 12 个或 24 个单词。不是支持人员，不是技术员，也不是“安全”表格。哪天有人向你索要它们，你就知道该怎么回答了。

在我看来，Keystone 在危机处理上算是体面过关了：透明、道歉、销毁库存。但在数据保存方面，它拿到了红牌，因为及时删除的客户文件，就是一份无法被盗走的文件。至于那个如今把官方印章揣在口袋里的人：祝你卖假货好运，大家都知道了！

来源

• Keystone 在 X 上，2026 年 10 月 26 日：关于被盗密钥和 18,835 台设备的完整公告
• Blockhead，2026 年 10 月 27 日：泄露事件的时间线和数据
• The Hacker News：Keystone 将销毁 18,835 个钱包
• crypto.news：身份验证密钥和给客户的建议

本文在 Claude Code 的帮助下写成，由我审阅并修正。