一句话把这件事说清楚：被攻破的不是那台离线签名的硬件钱包，是卖它的那个商城。助记词、私钥、银行卡信息都没进泄露清单，但你的姓名、手机号、住址，以及「你买过一台硬件钱包」这个事实，已经落到第三方手里了。
对硬件钱包厂商来说，这是最尴尬的一类事故。产品卖点是「密钥永不触网」，泄露的却是客户的收件地址。
时间线：从发现到公开，四天
- 10 月 20 日: Keystone 发现官网存在未授权访问。
- 10 月 21 日: 官方还在公开发帖，说因为 Ledger 供应链植入事件，公司正在审查自家供应链与经销商管理，原话是「这是给每一家硬件钱包厂商的警钟，包括我们」。按它自己后来公布的时间线，当时它已经进入事件状态一天了，只是还没确认数据被拿走。
- 10 月 23 日: 与 Shopify 核对 API 活动后，确认第三方已获取客户收货信息。
- 10 月 24 日 17:59 UTC: 公开发布道歉声明，称正在给受影响客户发邮件，详细报告稍后公布。
发现到确认隔了三天，确认到公开隔了一天。这三天里下单的客户，信息是不是也在里面，官方没说。
泄露了什么，没泄露什么
按官方口径，被拿走的字段是：
- 姓名
- 联系方式
- 收货地址
- 订单明细，包含购买的设备与价格
不在泄露范围内的是：
- 支付卡信息、银行信息
- 助记词
- 私钥
- 钱包密码
很多人看到「助记词没泄露」就关掉页面了。这个判断只对了一半。订单明细才是这份数据里最值钱的部分：它不只是收据，它是一份画像。拿到这条记录的人知道，这个地址的主人自己在保管私钥，用的哪一代设备，买了几台，大概愿意为安全付多少钱，以及最重要的，这个人住在哪。
要骗这样一个人，不需要破解安全芯片。一个电话、一封带真实订单号的邮件、一个「换新机」的快递，成本比研究固件漏洞低得多。
我们自己查了一遍：商城跑在 Shopify 上
官方声明里的措辞是「官网」。我们去看了一眼订单数据实际待在哪：store.keyst.one 会 301 跳转到 shop.keyst.one，这个商城页面加载的是 cdn.shopify.com 的资源，响应头里带 Shopify 的 shopify-complexity-score。而 keyst.one 主站是另一套应用，响应头是 x-powered-by: Express，页面里没有 Shopify 资源。
这和官方说法对得上：它说的是「与 Shopify 核对 API 活动」，客户订单数据在 Shopify 商城里，不在设备侧。这也把事件性质说清楚了：没有证据表明这是固件被攻破或者密钥被提取，攻击者伸手够到的是电商这一层的数据。
我们看不到、官方也没说的是，这一步是怎么做到的：是 API 凭证泄露，是某个集成权限开得太大，还是接了某个第三方应用带的洞。这三种情况的教训完全不同，答案只能等那份详细报告。
收货信息为什么比助记词更难防
硬件钱包解决了一个问题，而且解决得很好：密钥离线，远程攻击者没法靠攻破一个网站就把你的钱包掏空。行业没解决的是购买之后留下的那一串数据：商城、发货服务商、客服工单、营销名单。
同类事件已经连成线了：
- Ledger 2020 年的订单数据库泄露，把姓名、电话、住址变成了长达数年的钓鱼素材，甚至有人收到冒充官方的纸质信件，引导去钓鱼站输入助记词。这条链路我们在硬件钱包诈骗拆解里写过。
- 2026 年 8 月，Trezor 披露发货服务商 ShipMonk 被入侵，9 月又追加披露约 6.7 万名美国客户受影响，此前首轮披露的数字是近 1.4 万人（Trezor 公告、The Block）。
- 这个月，Ledger 确认经东南亚经销商流入了一批被改装过的设备（我们的复盘），那是同一问题的供应链版本。
三件事，三个入口，指向同一栋楼：购买之后的那段关系。硬件钱包保护的是密钥，保护不了客户记录，更保护不了记录背后那个真人。一旦有人拿着你的真实订单信息做社工，甚至顺着地址找上门，那就不是钓鱼邮件层面的问题了，那是扳手攻击的范畴。对国内用户来说还多一层：很多人是代购、转运、集运仓收货，泄露的往往不只是家庭住址，还有转运仓编号、手机号和常用收件人姓名，这些信息在黑产里是可以拼图的。
你现在该做的八件事
- 别信任何主动找上门的「Keystone」: 电话、短信、邮件、纸质信件一律先当诈骗。自己手动输入
keyst.one进站，或发信到 support@keyst.one 核实，不要点消息里的链接。 - 助记词不给任何人: 客服不要，审计不要，交易所不要，「安全团队」更不要。这条没有例外。
- 没下过单却寄到的设备，不要初始化: 所谓「换新机」「补偿机」如果先到了你家，别开机、别生成助记词，先通过官网确认。
- 固件只从官网核验: Keystone 在 keyst.one/firmware 公布固件与校验方法，验不了就停手。
- 以后买硬件钱包换个收货方式: 快递柜、公司地址、代收点、转运服务都行，把「买过硬件钱包」和「我住这里」这两条信息拆开。
- 把下单用的邮箱加固: 独立密码，应用内两步验证或通行密钥，别只靠短信验证码，尤其是绑定交易所和自托管相关的账号。
- 准备应对的是「补偿剧本」，不是钓鱼页: 这类事件后续最常见的套路是假退款表、假换新机、假客服远程协助，目标要么是你的助记词，要么是让你用上一台被做过手脚的签名设备。
- 跟同住的人说一声: 涉及上门的骗局，家里人知道套路，成功率会低很多。
官方还没说的部分
- 受影响客户的具体数量与订单时间范围
- 出问题的接口或凭证类型
- 第三方是谁，数据是否已经在流通
- 订单数据的保存期限会不会改
- 客服工单、其他系统有没有被一起看到
在详细报告出来之前，诚实的结论只有一句：范围未知、路径未知、买家未知。
判断
这次事故没有动摇「离线签名」这件事本身的价值，它动摇的是厂商处理客户数据的习惯。整个行业在密钥安全上讲得很专业，在数据最小化上却很随意：订单数据被复制进分析工具、客服系统、邮件平台、发货系统，然后一放好几年，因为删除需要成本，而没人会为「删得干净」被奖励。
成熟做法其实很无聊：发货完成后限期清除收件信息，把履约身份和营销身份拆开，只保留保修与税务必需的字段，并且公开保存期限。Keystone 这次不是设备设计输了，是数据管理输了。只要这块不改，买一台硬件钱包，就等于给自己在别人的名单上多留了一行，而下一封钓鱼邮件会准确写出你的订单号。
一句话收尾：你的助记词还在你手里，这是真正的好消息。你的姓名、街道，以及「这个人有硬件钱包」这三件事，已经成了别人的生意。
常见问题
Keystone 被黑，我的助记词和私钥会泄露吗？
按 Keystone 的说法不会。泄露的是姓名、联系方式、收货地址和订单明细。支付卡、银行信息、助记词、私钥、钱包密码都不在泄露范围内。官方声明里也没有任何迹象表明攻击者接触到了设备、固件或签名密钥。
这次到底拿走了哪些信息？
姓名、联系方式、收货地址，以及订单明细，包括买了哪款设备、数量与价格。订单明细是最容易被低估的部分：它等于告诉陌生人你持有加密资产、用的是哪一代硬件钱包、买了几台、愿意在自托管上花多少钱。
有多少 Keystone 客户受影响？
官方没有公布。Keystone 只说正在给受影响客户发邮件，详细报告稍后发布。在报告出来之前，把范围当成未知，而不是当成很小。
是不是 Keystone 的设备或固件被攻破了？
目前没有证据指向这一点。官方描述的是官网遭未授权访问、与 Shopify 核对 API 活动，问题出在电商这一层，不是离线签名设备本身。但仍要只从官网核验固件，并且绝不去初始化一台你没下单却寄到手里的设备。
收到「Keystone 客服」说要退款、换新、核对地址，怎么处理？
默认当诈骗处理。自己手动输入 keyst.one 或 shop.keyst.one 进站核实，或发邮件到 support@keyst.one。任何人问你要助记词、让你装远程协助软件、或者要给你寄一台「换新机」，都直接停手。Keystone 明确说不会向你索要助记词。