区块链媒体Cryptopolitan 26日（当地时间）报道称，硬件钱包厂商Keystone因其Shopify网店遭入侵，客户姓名、联系方式、收货地址及订单信息发生泄露。

Keystone表示，公司于20日发现异常访问迹象，在核查Shopify API活动后，于23日确认有第三方获取了部分客户信息。泄露内容包括客户姓名、联系方式、收货地址，以及购买商品和价格等订单记录。不过，支付信息、助记词、私钥和钱包密码未被泄露。

Keystone称，事件确认后公司已切断相关外部访问并启动调查，同时向受影响客户发送邮件通知。不过，Keystone并未披露受影响客户数量、入侵路径以及攻击者身份，仅表示后续将公布更详细的报告。

针对泄露信息可能被用于冒充诈骗，Keystone提醒用户提高警惕。公司称，用户可能会接到以退款、补发设备或修改订单、收货地址等名义发起的电话、短信、电子邮件，甚至纸质邮件。Keystone同时强调，不要在并非本人订购的设备上输入助记词，访问相关网站时也应手动输入网址。

目前已出现可疑案例。一名X用户表示，自己接到一通伪装成蒙特利尔警方号码的电话，对方询问其是否了解Amazon、eBay以及Keystone。该用户称，对方提及的内容与自己2024年的Keystone订单记录相吻合。

此次事件也引发外界对Keystone数据删除政策的质疑。Keystone曾于1月5日表示，订单完成180天后将永久删除配送信息，并在3月再次提到，配送信息最迟将在180天内删除。但有部分客户反映，自己的订单完成时间已超过180天，仍收到了泄露通知。

与此同时，Keystone公开文件中的表述也并不一致。其“隐私保护承诺”页面写明，配送信息将在订单完成180天后自动删除；但一份最后更新于2021年5月的隐私政策则称，仅会删除近180天内无订单客户的订单数据。客服中心文件还提到，即便用户提出删除请求，城市和国家信息仍会保留，最终删除流程由Shopify处理。

近期，硬件钱包行业已接连发生类似事件。Trezor曾在8月表示，由于其配送合作伙伴ShipMonk遭入侵，约1.4万人信息泄露；此后又有约6.7万名美国客户信息被进一步暴露。SafePal也在数日后披露，因订单追踪系统存在漏洞，约4万人信息外泄。Keystone钱包主打二维码签名交易，无需通过USB、蓝牙或Wi-Fi连接，但此次风险出现在其Shopify网店环节。

此次事件再次表明，硬件钱包的风险并不只存在于设备本身，销售和配送环节的数据管理同样可能成为薄弱点。尤其是Keystone宣称的“180天删除政策”与实际数据保留范围之间存在差异，也凸显出电商系统对接场景下数据治理的重要性。