硬體錢包廠 Keystone 資安承諾翻車！180 天刪資料形同虛設，2 年前訂單個資遭外洩

硬體錢包廠 Keystone 週六宣布 Shopify 官方網站遭駭，客戶姓名、聯絡方式、收件地址與訂單明細外洩。問題是，Keystone 過去半年反覆以「180 天後永久刪除出貨資料」作為隱私賣點，現在有客戶證實兩年前下的訂單個資依然被洩漏，承諾與現實之間的落差正在擴大。
（前情提要：加密錢包 Ledger 客戶資料又外洩！支付商 Global-e 漏洞釀禍，釣魚攻擊恐再起）
（背景補充：Trezor 資安漏洞擴大！6.7 萬客戶外洩，ShipMonk 被指未刪資料）

本文目錄

硬體錢包廠 Keystone 週六下午在官方 X 帳號承認，駭客於 10 月 20 日入侵其 Shopify 驅動的官方商店，竊取了客戶姓名、聯絡資訊、收件地址，以及購買品項與價格等訂單細節。Keystone 強調，付款卡號、銀行資訊，以及復原短語、私鑰與錢包密碼等加密敏感資料均未遭外洩，並表示已封鎖入侵路徑、修補漏洞、啟動調查，並正逐封寄信通知受影響客戶。受影響人數與駭客身份，官方皆未披露，僅承諾數日內發布詳細報告。

真正讓這起事件從「例行性個資外洩」升級為「品牌承諾翻車」的，是 Keystone 過去幾個月的行銷話術。今年 1 月 5 日，也就是 Ledger 客戶接到支付處理商 Global-e 資料外洩通知的同一天，Keystone 在 X 上寫下：「180 天後，你的出貨資料將被永久刪除。」3 月再次強調「其他硬體錢包把你的資料留到永遠，我們最多 180 天就刪」，8 月的多篇貼文延續相同論調。公司的 Privacy Promise 頁面也以「所有出貨資訊於下單 180 天後自動刪除」作為核心賣點。

180 天承諾 vs. 兩年前訂單

然而，多名客戶在 X 上指出，他們的訂單遠早於 180 天前。使用者 @trintaetres_33 週六發文表示，自己兩年前購買的裝置同樣收到了外洩通知；@BlockchainBarmy 則計算出最後一筆訂單與此次外洩之間相隔 214 天。更值得注意的是，@PEPE_Whale69 甚至在 Keystone 官方確認之前就先發出了警報：該使用者週五晚上表示，接到一個冒用蒙特婁警察電話的來電者，對方試圖以「Amazon、eBay 或 Keystone 聽起來熟不熟悉」等方式進行社工攻擊，並能完美說出他 2024 年下的 Keystone 訂單細節，遠早於所謂的 180 天刪除期限。Keystone 的 X 帳號在週六凌晨 1:08 回覆該貼文，表示「已對此事啟動緊急調查」，公司最終在 10 月 23 日正式確認外洩。

值得注意的是，Keystone 的隱私政策（最後更新於 2021 年 5 月）措辭與行銷口徑並不完全一致，寫的是「刪除過去 180 天內未再下單的客戶之所有訂單資訊」；其客服中心的刪除條款更明確註明「城市與國家記錄不會被刪除」，且「最終刪除流程由 Shopify 執行」。行銷文案與法律檔案之間的落差，為「180 天承諾」留下了不少解讀空間，也難怪客戶在拿到通知後反應激烈。

硬體錢包個資外洩的連環劇

Keystone 不是今年唯一爆雷的硬體錢包廠。8 月，Trezor 披露其物流合作商 ShipMonk 遭駭，首波外洩約 1.4 萬客戶的個人資料，後續擴大至美國約 6.7 萬客戶，且 ShipMonk 被指在書面承諾已刪除資料的情況下實際未刪。Trezor 事件披露幾天後，SafePal 又宣布其訂單追蹤系統漏洞洩露近 4 萬客戶的個人資訊。更早一些，Ledger 客戶在年初因支付處理商 Global-e 的漏洞收到外洩通知；本月上旬 Ledger 進一步確認，經經銷商 CryptoBilis 售出的部分裝置內含硬體植入元件，可在初始化時截獲復原短語，鏈上研究者估計相關損失超過 8,600 萬美元。

後續觀察：承諾與執行的落差才是真正風險

把這幾起事件放在一起看，硬體錢包產業的風險面正在從「錢包本身」轉向「供應鏈與資料治理」。錢包裝置端的私鑰安全固然重要，但客戶個資在電商供應鏈（Shopify、ShipMonk、Global-e 之類第三方）的留存與刪除，才是真正難以掌控的環節。

Keystone 的特殊之處在於，它把「180 天刪除」從隱私政策升級成了行銷賣點，一旦承諾與實際執行不符，受損的不只是資料安全，而是品牌定位本身。後續值得觀察三點：其一，Keystone 的詳細報告是否會披露受影響人數與資料留存實際機制；其二，Shopify 作為多家錢包廠的電商底座，其資料留存政策是否值得業界重新審視；其三，客戶個資外洩之後的社工攻擊（如本文提到的蒙特婁警察冒用電話）往往比外洩本身更具破壞力，錢包廠在通知客戶時是否附上具體防詐指引，將成為區分責任感的關鍵指標。