硬體錢包 Keystone 官網遭入侵：買家寄送資料外洩，私鑰未受影響但釣魚風險升高

Keystone 坦承官網遭未授權存取，買家姓名、聯絡方式、寄送地址與訂單內容外流；公司強調助記詞與私鑰未受波及，但受害名單本身就是詐騙者的目標清單。

硬體錢包的賣點，是把私鑰鎖在離線裝置裡，連網路都碰不到。但這次出事的不是裝置本身，而是賣裝置的商店。香港硬體錢包品牌 Keystone 在 10 月 24 日公開坦承，官網遭到未授權存取，買家的寄送資料已被第三方取得。

時間線：10 月 20 日發現，23 日確認範圍

根據 Keystone 的說法，公司在 10 月 20 日察覺官網出現可疑存取，隨後與 Shopify 核對 API 活動紀錄，在 10 月 23 日確認第三方確實取得了客戶的寄送資訊，隔日對外公開並致歉。公司表示已阻斷存取、修補漏洞、展開調查，並開始以電子郵件通知受影響的客戶，後續還會發布更詳細的報告。

外流的欄位包括買家姓名、聯絡方式、寄送地址，以及訂單內容（購買品項與金額）。Keystone 同時劃出一條明確的界線：付款卡或銀行資料、助記詞、私鑰、錢包密碼都不在外流範圍內。換句話說，攻擊者沒有拿到可以直接動用資產的鑰匙，但拿到了「誰買了硬體錢包、住在哪裡、買了什麼」這份名單。

為什麼寄送地址外洩特別棘手

對一般商品來說，地址外洩多半只意味著垃圾郵件或釣魚信變多；對硬體錢包買家而言，風險層級不同。知道某人持有加密資產、又知道對方的住家地址，等於同時掌握了目標的身分與位置，詐騙者可以假冒客服寄送「更換裝置」、打電話要求「驗證訂單」，甚至把釣魚推向線下。區塊鏈安全公司 CertiK 的統計也被引用為背景：2026 上半年全球已確認的「扳手攻擊」（以人身威脅逼迫交出資產）達 52 起，較去年同期的 39 起增加約三分之一。

Keystone 也特別提醒，真正的客服絕不會要求用戶提供助記詞或私鑰；任何以退款、換貨、修正訂單為由，要求輸入助記詞或使用來路不明裝置的訊息，都應直接視為詐騙。受影響的用戶除了提高警覺，也應檢查自己是否在其他服務沿用相同密碼或聯絡方式，避免一處外洩牽連多處。

裝置安全與商店安全是兩回事

這起事件劃出了一條值得所有自託管產品業者注意的界線：裝置本身的離線設計再嚴密，也補不了官網與電商系統的漏洞。買家把信任交給品牌時，交出去的不只是金鑰管理，還包括姓名地址等現實身分資料。業者若只談裝置多安全、卻輕忽商店端的資料保護，等於只守住了後門，卻讓前門敞開。

資料來源

• Keystone 官方聲明（2026 年 10 月 24 日，經 X 平台發布）
• Cointelegraph：Keystone 官網入侵、買家寄送資料外洩報導
• Crypto Briefing：Keystone 資料外洩事件報導