Keystone 客户资料泄露：当心冒牌客服找上门！

最容易让人放松警惕的，往往不是陌生人，而是一个准确说出购买型号和收货地址的“客服”。Keystone 此次披露的事件提醒我们：钱包密钥与购买资料属于不同的安全层面。即使厂商表示密钥未在事件中泄露，用户仍需防备有人利用真实订单资料骗取更敏感的信息。

先确认已经知道的事实

Keystone 在10 月 24 日的公开说明中表示，20 日发现官方网站存在未授权访问，23 日确认第三方取得了客户配送资料。

公司称已阻止访问、修补漏洞、展开调查，并通过邮件通知受影响客户。Crypto Briefing 的报道提到，后续还将发布更详细的说明。在完整调查结果公布前，不宜自行补上受影响人数或断言具体入侵手法。

泄露的是哪一类资料？

以上分类依据 Bitcoin.com 转述的公司说明，不能据此认定每一位 Keystone 用户都在外泄名单内，也不能把它理解为对所有设备、所有风险的全面保证。

地址外泄，为什么仍值得重视？

订单系统记录的是“谁买了什么、寄往哪里”，私钥承担的则是交易签名。Keystone 的安全指引强调，恢复词由用户掌握，应离线保存。

骗子可能利用这两层之间的认知差距：先报出真实订单，让你相信他是客服，再要求你完成与订单无关的操作。对方知道地址，只能说明他知道地址，并不能证明身份，更不代表他有理由查看恢复词。

需要警惕的不是错别字，而是要求你做什么

Keystone 提醒用户留意冒充品牌提供退款、换机或修改订单与地址的人。下面是便于识别风险的假设场景，并非 SIAMBC 已核实的客户个案：

• 声称退款前必须“验证”助记词。
• 寄来未预约的替换设备，要求恢复原钱包。
• 催促立即把资产转到所谓的“安全钱包”。
• 要求安装远程协助软件，让客服检查操作。

消息是否精美并不是关键。应核实发送者，并判断请求是否合理。美国 FTC 的反钓鱼建议是通过已知的正式渠道联系企业，而不是使用可疑消息提供的联系方式。

买过 Keystone，接下来可以这样核查

1. 保留订单，但不要公开。 私下查询可以使用购买凭证，不要把收据、快递标签和住址发到公开平台。
2. 自己打开官网。 手动输入 keyst.one 或使用可信书签，不从陌生消息的链接开始。
3. 询问与你有关的资料范围。 不能只凭一封看似正式的邮件判断真伪；没收到通知，也不能直接证明未受影响。
4. 不在陌生寄来的设备上恢复钱包。 先确认换机安排，再考虑使用。
5. 检查邮箱安全。 使用独立密码、开启多因素认证，并留意异常登录。

Keystone 官网列出的支持邮箱为 support@keyst.one。咨询时不要附上恢复词、私钥或相关照片。

通过经销商购买，能否直接排除影响？

判断依据应是订单资料实际流向哪里，而不只是设备品牌。不能把厂商外泄记录直接等同于所有经销商订单，也不能只凭经销商发票，就保证资料绝未进入厂商或履约伙伴的系统。

通过 SIAMBC 购买的客户，可以使用原有联系渠道查询订单，无需提供钱包恢复资料。本文不是针对店铺客户数据库的审计，也不对某一笔订单是否在外泄范围内作未经核实的保证。

几个容易误判的问题

是不是必须立刻转走全部资产？

仅有收货资料泄露的消息，不能证明你的私钥泄露。不要因为来电者催促就转账。如果恢复词已经交给别人，或出现非本人操作的交易，应作为另一项紧急事件处理，并通过核实过的渠道求助。

修改设备 PIN 就能解决吗？

PIN 无法收回已经外泄的住址，也不能让公开过的恢复词重新保密。先分清是哪一类资料出了问题。

离线钱包为什么也会出现这类新闻？

离线签名设备与在线销售系统不是同一个系统。一层防护并不会自动覆盖另一层。

对方说得出完整订单，可以相信吗？

不要把订单知识当作身份证明。结束联系后，自己从正式渠道核实。处理配送或退款不需要索取你的助记词。

信息来源与相关报道

• Keystone: official incident statement
• Crypto Briefing · Bitcoin.com · The Defiant
• Keystone Security Practices
• FTC: Recognizing and avoiding phishing

资料核查日期：2026 年 10 月 25 日。本文依据公司说明及当时可查报道，并非独立取证调查；后续结论可能随新增资料调整。