我的天呐，用来证明“这台硬件钱包是真的”的那把钥匙，被黑客偷走了。Keystone 10 月 26 日宣布，攻击者拿到了写进每台设备里的出厂验证密钥，官方决定把仓库里 18,835 台还没卖出去的钱包全部销毁。很多人可能还没意识到这意味着什么：有人卖你一台假 Keystone，它也可能通过官方的真伪验证。 事情要从 10 月 20 日说起。据 The Hacker News 等外媒报道，Keystone 那天发现官网异常，攻击者利用网站上一个第三方数据监控工具的漏洞提升了权限，拿走了客户数据和这把密钥，官方当天封堵，之后也修复了漏洞。上周末他们先承认客户收货信息外泄，大家当时以为只是又一次地址泄露，到了周一才补上更重的一句：验证密钥也没了。受影响的是官网 2024 到 2026 年的 25,964 条买家记录，包括姓名、联系方式、收货地址和订单内容，另有 12,873 条未付款的结账记录也被算了进去。更尴尬的是，这些资料按承诺 180 天后就该删除，但批量删除工具不可靠，有些删除悄悄失败了，Keystone 自己也承认没有按时删、愿意承担责任。 这把密钥到底管什么？按报道，你验证设备时，用钱包扫官网验证页的二维码，设备用内置密钥解出一串验证码，你输回网页对得上，就证明它是正品。密钥在出厂时写死，不能擦除也不能改写，所以已经造好的 18,835 台没办法换锁，只能销毁，官网未发货的订单也先暂停，等换上新密钥的设备。好消息是，这把密钥只负责验真，不参与生成助记词、推导私钥或签名交易，Keystone 表示用户的助记词和私钥都没有受影响，也不需要因为这件事搬币，目前也还没有发现假机或被盗的报告。 真正的风险在后面。假设你这周在网上看到一台“全新未拆”的 Keystone，比官网便宜一点，开机验证也通过了，你大概率会放心把币转进去，而现在这个“通过”，拿到密钥的人也做得出来。再叠加一份带姓名和住址的买家名单，等于告诉别人谁手里可能有币。硬件钱包厂商出事也不是第一次，Decrypt 提到 2020 年 Ledger 客户名单外泄波及约 29.2 万人，今年 8 月 Trezor 和 SafePal 也分别有 13,689 名和约 39,798 名客户资料外泄；Chainalysis 统计，2026 年上半年针对加密货币持有者的暴力攻击有 46 起，被抢走超过 3000 万美元。 现在能做的其实不复杂。10 月 20 日前收到、验证通过的设备照常使用；20 日之后收到的，先别往里存币，找官方客服确认；接下来任何打着召回、换新、资产迁移、钱包验证名义的电话、短信、邮件甚至纸质信，一律当成骗局，Keystone 已经说明不会要求任何人寄回设备。我的看法是，这件事最讽刺的地方在于，大家买硬件钱包就是为了不用信任别人，结果第一道信任恰恰押在厂商的一把钥匙上。以后买冷钱包，渠道比价格重要得多，别为了便宜一点去捡来路不明的“全新机”。 你的硬件钱包是从哪买的？官网、电商，还是朋友转手？ 今日其他重点见图 #硬件钱包 #Keystone #币圈早报