Keystone 在 X 上确认：官方网站的网店被未授权访问，顾客的收货信息被拿走了。时间线是他们自己写的。10 月 20 日发现异常，10 月 23 日和 Shopify 核对 API 记录后确认。帖子发出时约在美东 10 月 24 日下午。
漏出去的是姓名、联系方式、收货地址、买了什么、价格。公司同时写明：银行卡、银行账户、助记词、私钥、钱包密码不在这次泄露里。
这周如果有人打电话、发短信，说自己是 Keystone 客服，要给你退款、换一台新机、或者「帮你核对地址」，先把电话挂掉。骗子手里现在有的，就是这些足够把你认出来的信息。
网店和钱包不是同一个系统
| 项目 | 官方说法 |
|---|---|
| 发现异常 | 2026-10-20，官网 |
| 确认数据被拿走 | 2026-10-23，与 Shopify 核对 API 之后 |
| 泄露内容 | 姓名、联系方式、收货地址、订单（商品与价格） |
| 公司称未泄露 | 支付卡、银行信息、助记词、私钥、钱包密码 |
| 影响人数 | 没说 |
| 进入方式、对方是谁 | 没说，称仍在调查，几天后给详细报告 |
| 已做动作 | 封掉访问、修漏洞、给受影响用户发邮件 |
硬件钱包存在你自己手里，种子词不经过这家网店。网店被看过，不等于设备里的密钥被复制了。反过来也成立：密钥没丢，不代表你可以相信一封「我们是官方」的邮件。对方能报出你的姓名、城市、买的型号和大致日期，这些现在不一定还是秘密。
The Block 的标题写到，有顾客认为泄露的数据包含公司先前承诺会删除的内容。这是顾客的说法。Keystone 那条帖子的公开文字里没有承认这一点。人数、入侵路径、对方身份，帖子里都没有。
来电和邮件会怎么开口
Keystone 自己的提醒是：会有人冒充公司，通过电话、短信、邮件或纸质信件联系你，名义是退款、更换设备，或者「帮你处理订单和地址」。他们明确说了两件不要做的事：不要把助记词输入一台你没有亲自订购的设备；不要点消息里附带的链接。
对照一下，这几句可以直接挂断：
- 「你的订单异常，我们寄一台替换机，收到后把原来的助记词导入新设备。」
- 「退款要验证钱包，请在这个页面输入 12 或 24 个词。」
- 「地址泄露了，为了安全请把资产转到我们给你的新地址。」
- 邮件发件人看起来像官方，但链接域名多一个字符，或是短链接。
真要核对，只从你自己书签里的官网进入，或只回复你能对上订单号的那封通知信。不要从对方来信里的按钮点回去。公司说他们正在给受影响的用户发邮件。邮件可以收，链接先不要点，动作先不要做。
这周可以做的四件事
- 想一下你是否在 Keystone 官网下过单。下过，就把「姓名 + 地址 + 型号」当成已知信息，不要靠这些来确认对方身份。
- 任何要求导入助记词、输入 PIN、转到新地址的联系，一律当诈骗。换机、退款都不需要种子词。
- 官方通知若要求你做动作，停在阅读。过几天等他们说的详细报告，再决定要不要做。
- 设备本身按官方说法没有被这次网店事件打开。不要因为这条新闻把好端端的钱包重置掉，除非你有别的理由怀疑设备本身。
买硬件钱包这件事，渠道本身就是风险的一部分。网店泄露是一种，供应链调包是另一种。站内《近 9000 万美元被掏空：你的 Ledger，是从谁手里买的？ 》写的是后一种，不要把两起事并成同一条新闻。
FAQ
我的币是不是已经不安全了？
按 Keystone 10 月 24 日的帖子：助记词、私钥、钱包密码不在泄露范围内。不安全的是你的收货身份，以及随后可能到来的冒充联系。
对方报得出我的订单，算不算官方？
不算。订单内容正是这次被拿走的部分。能报出订单，只能说明对方看过网店数据，不能说明对方是公司。
要不要把钱包里的币转走？
这次披露本身没有给出「密钥已泄露」的理由。因为一封邮件或一个电话去转账，才是这起事件里真正会丢币的步骤。
公司承诺过删除这些数据吗？
有顾客这样说，见 The Block 的采访方向。官方帖子没有确认。在详细报告出来之前，这句保持为顾客说法。
核对来源
- Keystone 官方确认帖：x.com/KeystoneWallet/status/2114054080754770137
- 同账号较早的「已开始调查」回复：status/2113860187593625805
- The Block，2026-10-25
详细报告官方说会在随后几天发出。人数和入侵路径以那份报告为准，不以这里的数字为准，因为这里没有写人数。