硬體錢包商 Keystone 於二零二六年十月二十六日更新事故說明：十月二十日網站遭入侵時，攻擊者除取得客戶訂單資料外，亦盜取用於線上「真機驗證」的裝置認證金鑰；公司將銷毀庫存中一萬八千八百三十五部已燒錄舊金鑰的未售裝置，並暫停相關出貨。客戶恢復短語、私鑰與支付／證件資料據稱未涉；來源真實性已驗證。

Keystone／CoinDesk：驗證金鑰被盜將銷毀一萬八千八百三十五部硬體錢包——舊金鑰或令偽機通過真機檢查；二萬五千九百六十四筆買家紀錄外洩

Keystone 指攻擊者利用網站第三方數據監控工具漏洞提升權限，於十月二十日取得部分客戶資料與裝置真偽驗證用金鑰。該金鑰在生產時寫入裝置且無法改寫，只用於官網掃描驗證流程，不參與助記詞生成或交易簽名；但持有複本即可讓偽機通過同一套線上檢查，存在被當成正品售出、進而竊取用戶資產的供應鏈風險。公司未報告已發現偽機或因此失竊。本文交叉核對 CoinDesk、Cointelegraph 與 The Hacker News 對公司十月二十六日聲明的轉述，數字以三家一致報道為準。

一、核心事件

1. 從「出貨資料外洩」升級到「真機金鑰失竊」

Keystone 十月二十四日曾披露網站事故導致買家運送資訊外洩；十月二十六日進一步說明：

1. 入侵途徑：攻擊者利用網站所用第三方數據監控工具漏洞提升權限；公司於十月二十日發現異常存取並切斷攻擊者通道，其後修補漏洞。
2. 裝置認證金鑰：攻擊者取得用於驗證裝置是否正品的金鑰。金鑰在製造時寫入、無法抹除或覆寫；官網驗證流程依賴裝置內建該金鑰解密／回應挑戰碼。持有金鑰複本，即可令偽機通過驗證頁檢查。
3. 庫存處置：將銷毀庫存中 18,835 部仍使用舊金鑰的未售裝置；所有使用該舊金鑰的生產出貨已暫停，待改以新金鑰生產後再恢復。網站銷售改為預購。
4. 客戶資料範圍：影響透過官網（Shopify）購買、介乎二零二四年至二零二六年的 25,964 筆買家紀錄（姓名、聯絡、運送地址、訂單資訊）；另有 12,873 筆未完成結帳紀錄作為預防性納入。支付卡／銀行資料、政府證件號碼，以及恢復短語、錢包私鑰據稱未涉。Amazon 及其他銷售渠道紀錄據稱不受影響。

2. 用戶須知：以十月二十日為界

按公司指引（經上述媒體轉述）：

3. 資料保存承諾失手

Keystone 本承諾訂單運送個資於 180 日後刪除，但批量自動刪除工具未可靠運作，部分刪除失敗且未及時發現。公司承認未能如期履行刪除承諾，並即時把個人資料保存期縮短至 90 日，同時要求 Shopify 刪除逾九十日的買家個資。

二、技術與商業原理：為何「驗證金鑰」比郵寄名單更致命

1. 真機檢查本是供應鏈防線：用戶初始化時到官網掃描 QR、回填裝置顯示碼，本意是確認 Secure Element／韌體內建的驗證材料與官方後端配對，降低途中掉包或植入風險。
2. 金鑰可複制，就等於防線對調：若攻擊者同時能做出硬體外殼並寫入同一驗證金鑰，線上「通過」不再證明來貨可信——用戶可能在「驗證成功」的心理安全感下匯入資產。
3. 金鑰與種子無關，但仍足以釀成資產損失：報道強調該金鑰不參與助記詞或簽名；風險路徑是偽機騙過驗證後，在後續使用中竊取種子／誘導錯誤操作，而非直接從雲端抽走鏈上私鑰。
4. 硬體錢包業態連續承壓：同期報道亦提及 Ledger 東南亞／香港經銷渠道植入事件、Coldcard 種子熵不足事故，以及 Foundation 釣魚／舊資料庫副本問題——Keystone 今次是「官網工具鏈＋驗證密料」一環失守，提醒 Web3 硬體信任錨同樣依賴 Web／第三方組件與金鑰生命週期管理。

四、日常應用場景

1. 開發者與技術團隊

若產品做錢包連線、裝置驗證、韌體更新或 Shopify／監控外掛：把裝置身份金鑰當生產密料管理（HSM、最小權限、不可從 Web 應用直接讀出）；第三方腳本／數據工具納入攻擊面審查；驗證通過與否應搭配出廠序號、物流批次與支援人工覆核，避免單一線上挑戰碼成為唯一信任根。

2. 企業與隱私敏感行業

企業財資或託管若採購硬體錢包作冷儲備，應要求供應商提供：金鑰輪替政策、庫存銷毀證明、事故通報時效，以及「驗證通過」的威脅模型說明。採購合約宜寫明第三方 SaaS／監控工具清單與資安附件，避免官網行銷堆疊拖垮裝置信任根。

3. 一般用戶

只從官方或可信渠道取貨；啟用時完成官網驗證並保留結果截圖。若裝置在十月二十日後送達且仍為舊金鑰世代，先聯絡 Keystone 支援再存入大額。任何人要求你「寄回召回」「為安全遷移助記詞」——一律視為詐騙。今次外洩含姓名地址電話，需提防針對買家的釣魚包裹／假客服。

4. 香港與亞洲市場視角

香港及亞洲是硬體錢包重要經銷與使用市場；近期同業渠道植入與官網驗證金鑰失竊連續出現，對本地交易所櫃檯、OTC、家辦冷錢包流程都有實務意義：收貨驗機、批次序號對帳、以及「驗證頁本身是否仍可信」都應寫進操作手冊。建造錢包、託管或鏈上財資產品的團隊，亦可把供應鏈與 Web 驗證後端納入威脅模型，而非只測合約與簽名路徑。

五、專業評價與潛在考量

可核對的重點

• 銷毀 18,835 部、買家紀錄 25,964、未完成結帳 12,873、入侵發現日十月二十日、聲明日十月二十六日、保存期 180→90 日：CoinDesk、Cointelegraph、The Hacker News 對公司聲明轉述一致。
• 金鑰用途限於真機驗證、與恢復短語／簽名無關；支付卡與證件未涉；Amazon 等其他渠道據稱未中：同上。
• 官方聲明原文以 Keystone 於 X 發布的長文為準；本文以三家專業媒體轉述交叉核對，未另行呼叫 X 介面。

需要留意的地方

• 公司未公布攻擊者何時最早進入、金鑰儲存位置、是否已有偽機流入市面；十月二十日後舊金鑰裝置的用戶，實際如何自辨金鑰世代，報道指官網說明一度不完整，應以支援回覆為準。
• 十月二十四日已報道的運送資料外洩與今次金鑰披露屬同一入侵事件的後續升級，不是第二次無關攻擊；閱讀時應合併理解風險面。
• 未完成結帳紀錄屬預防性納入，不代表每一筆均已證實被讀取。

結語

硬體錢包的「官網真機驗證」一度被視為對抗供應鏈掉包的標準動作；當驗證金鑰本身從網站工具鏈被偷走，通過檢查不再等於來源可信，Keystone 選擇銷毀近一萬九千部庫存並輪替金鑰，等於用實體報廢重建信任根。對香港企業與建設 Web3 產品的團隊而言，這提醒：裝置信任錨、Web 後端與第三方監控插件必須同一套威脅模型，密料生命週期與事故銷毀流程要預先演練。若你正在評估錢包、託管或鏈上財資方案，可參考 YSK 的 Web3 區塊鏈開發與基建服務，把供應鏈驗證、冷熱分離與事故應變一併設計進產品。

參考來源

1. CoinDesk（2026-10-27）：Crypto wallet maker Keystone to destroy almost 19,000 devices after security breach — https://www.coindesk.com/business/2026/10/27/crypto-wallet-maker-keystone-to-destroy-almost-19-000-devices-after-security-breach
2. Cointelegraph（2026-10-27）：Keystone breach deepens: Hackers stole key used to verify wallets as genuine — https://cointelegraph.com/news/keystone-breach-deepens-hackers-stole-key-used-to-verify-wallets-as-genuine
3. The Hacker News（2026-10）：Keystone to Destroy 18,835 Hardware Wallets After Hackers Steal Device Verification Key — https://thehackernews.com/2026/10/keystone-to-destroy-18835-hardware.html
4. Keystone 官方聲明（經上述媒體引用；X 長文）：https://x.com/KeystoneWallet/article/2114719318722404578