Keystone 驗證金鑰外洩只能銷毀庫存；Foundation 舊資料表沒刪乾淨
硬體錢包官網外洩案擴大：Keystone 銷毀 18,835 台庫存，Foundation 發現「已遮蔽」的訂單資料其實還在
兩家加密貨幣硬體錢包廠商的客戶姓名、地址、電話可能已經外流。Keystone 表示助記詞、私鑰、付款資料不在外洩範圍內，Foundation 表示沒有發現 Passport 裝置或私鑰受影響。Foundation 後台顯示「已遮蔽」的訂單，舊資料表裡仍有完整個資：後台顯示「已遮蔽」不等於資料庫真的刪掉了。
背景。 本報 10/25 報過 Keystone 官網（Shopify）遭入侵、10/26 報過 Foundation 用正牌網域寄出釣魚信。這一期兩家都公布了新的調查結果，而且都比原先說的更嚴重。
Keystone：連「驗證真偽的金鑰」都被偷。
- Keystone 台北時間 10/26 22:02 在官方 X 發布事件說明。依多家媒體引述的聲明內容：攻擊者 10 月 20 日透過官網的第三方工具漏洞入侵，取得約 25,964 筆購買紀錄（2024～2026 年，含姓名、聯絡方式、收件地址、訂單資訊）、12,873 筆未完成結帳紀錄，以及裝置的 WebAuth 驗證金鑰。
- 這把金鑰在製造時就寫進裝置、無法清除或改寫。拿到它的人有機會做出「能通過官方真偽驗證」的山寨錢包。助記詞、私鑰、付款資料不在外洩範圍內。
- 官方 X 回覆證實：暫停出貨，銷毀庫存中 18,835 台使用舊金鑰的裝置，新訂單改用新金鑰，預計 4～6 週後開始出貨；韌體簽章金鑰是另一把，沒有受影響。官方也說正在做「查詢個資是否外洩」的頁面，未來幾天公布。
- 依引述內容，Keystone 原本承諾 180 天後自動刪除客戶資料，但刪除工具有部分沒執行成功、也沒人發現，所以 2024 年的資料也在裡面；之後保存期改為 90 天。
Foundation：遮蔽只改了新資料表。
- Foundation 台北時間 10/26 23:38 發布第一份調查更新：在郵件系統裡找到超過 23,000 次釣魚信寄送嘗試，其中 19,057 封經 Mailgun 寄出、1,503 封經 Google Workspace 寄出。攻擊者能用正牌網域寄信，起因是 Cloudflare API 金鑰外洩。
- 原因：2026 年 5 月搬到 Shopify 之前，舊站用 WooCommerce，設定出貨 60 天後自動遮蔽客戶資料。但過去幾次資料庫搬遷時，訂單被複製到新資料表、舊資料表的副本還留著；遮蔽只更新了後台看得到的新資料表，所以後台顯示「已遮蔽」，舊表裡卻還有完整個資。退款紀錄、未結帳購物車也有個資。5 月之後 Shopify 上的訂單則是還沒手動遮蔽、自動刪除工具也還沒上線。
- Foundation 建議其他 WooCommerce 店家請開發者檢查整個資料庫，包括搬遷留下的舊資料表、退款紀錄、未結帳購物車、聯絡表單。
- 10/27 02:52 第二份更新：大約 5,600 筆郵寄地址、5,200 筆電話（加上姓名、Email）存放在攻擊者碰得到的系統裡，全部視為可能外洩。另外有超過 5,000 個收到釣魚信的 Email 不在他們的客戶紀錄中，Foundation 判斷攻擊者也混用了外部來源的資料。所有金鑰與密鑰全面輪替，沒有發現 Passport 裝置或私鑰受影響。
官方說明與提醒。 Keystone 表示，10 月 20 日前收到的裝置，通過官方驗證即可照常使用；10 月 20 日後收到的，需先聯絡官方客服做額外驗證再使用。官方不會要求寄回裝置，以「召回」為由要求寄回的都應視為詐騙（CoinMarketCap 引述）。
來源。 Keystone 官方事件說明（X） · Keystone 官方回覆：銷毀 18,835 台、4～6 週出貨 · Keystone 官方回覆：韌體簽章金鑰未受影響 · Foundation 調查更新 1 · Foundation 調查更新 2 · 新聞：CoinMarketCap Academy、The Crypto Times
值得追蹤。 @KeystoneWallet（官方，個資查詢頁上線時間）；@FoundationHQ 與執行長 @zherbert（說完整報告會在調查結束後公布）。
查核備註。 Keystone 的完整聲明是 X 長文，本報無法直接開啟全文；25,964／12,873 筆、入侵日期、180 天改 90 天等內容來自多家媒體與合作夥伴引述，18,835 台、出貨時程、韌體金鑰未受影響則有官方帳號回覆可證。Foundation 的數字都直接取自官方兩則調查更新原文。本期 cyberq.tw 沒有相關報導。