ลูกค้า Keystone บอกข้อมูลสั่งซื้อเก่าที่เคยสัญญาลบหลัง 180 วันก็รั่ว Keystone ยังไม่ตอบ ตรวจยืนยันไม่ได้
The Block รายงานเมื่อ 25 ตุลาคม 2569 ว่าลูกค้า Keystone (Keystone Hardware Wallet) หลายรายบอกบนโซเชียลมีเดียว่า ข้อมูลที่รั่วจากเหตุเว็บไซต์ถูกเจาะ มีข้อมูลสั่งซื้อที่เก่าเกิน 180 วัน ซึ่ง Keystone เคยประกาศว่าจะลบหลังสั่งซื้อ Keystone ยังไม่ตอบต่อสาธารณะว่าปฏิบัติตามนโยบายลบ 180 วันหรือไม่ และ The Block ระบุว่าตรวจคำกล่าวของลูกค้าไม่ได้ ทีมข่าวจึงยังยืนยันไม่ได้ว่าข้อมูลเก่าถูกรั่วจริง คำชี้แจงเมื่อ 24 ตุลาคมของ Keystone ยังระบุว่ารั่วเพียงชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง และรายละเอียดคำสั่งซื้อ ไม่รวมข้อมูลบัตรหรือบัญชีธนาคาร วลีกู้คืน กุญแจส่วนตัว และรหัสผ่านวอลเล็ต
ลูกค้าบอกอะไร
- ผู้ใช้ X รายหนึ่งบอกว่าซื้อสินค้ามานานกว่า 2 ปีแล้ว แต่ได้รับอีเมลแจ้งเหตุข้อมูลรั่ว
- ผู้ใช้อีกรายบอกว่าห่างจากคำสั่งซื้อล่าสุดถึงวันเกิดเหตุ 214 วัน
- ผู้ใช้อีกรายโพสต์เมื่อเย็นวันศุกร์ ก่อน Keystone เปิดเผยเหตุ ว่าได้รับสายจากเบอร์ที่ปลอมเป็นหมายเลขตำรวจมอนทรีออล โดยผู้โทรอ้างรายละเอียดตรงกับคำสั่งซื้อที่ทำในปี 2567
- The Block ระบุว่าได้ติดต่อผู้ใช้เหล่านี้เพื่อขอข้อมูลเพิ่ม และตรวจคำกล่าวทั้งหมดเองไม่ได้ ทีมข่าวไม่ระบุชื่อบัญชี เพราะเป็นบุคคลทั่วไปและยังไม่ได้รับการยืนยัน
Keystone เคยสัญญาเรื่องการลบข้อมูลไว้อย่างไร
- โพสต์บน X เมื่อ 5 มกราคม: ข้อมูลจัดส่งถูก "ลบถาวร" หลังสั่งซื้อ 180 วัน ตามที่ The Block รายงาน
- โพสต์เมื่อมีนาคม: Keystone บอกว่ากระเป๋ายี่ห้ออื่นเก็บข้อมูลไว้ตลอด ส่วน Keystone ลบข้อมูลจัดส่งภายใน 180 วันอย่างช้าที่สุด ตามที่ The Block รายงาน
- หน้า Privacy Promise ของ Keystone ระบุว่าข้อมูลจัดส่งจะถูกลบอัตโนมัติ 180 วันหลังสั่งซื้อ ตามที่ The Block รายงาน ทีมข่าวเปิดหน้านี้เองไม่ได้ (ลิงก์ที่ลองให้ผล 404)
- ศูนย์ช่วยเหลือของ Keystone ระบุว่าเมืองและประเทศยังถูกเก็บไว้ และ "ขั้นตอนลบสุดท้ายจัดการโดย Shopify" ตามที่ The Block รายงาน
- นโยบายความเป็นส่วนตัว (Privacy Policy) ของ Keystone ที่ทีมข่าวอ่านเมื่อ 26 ต.ค. เขียนไว้ในหมวดการเก็บข้อมูลว่า "เราลบข้อมูลคำสั่งซื้อทั้งหมดของลูกค้าแต่ละรายที่ไม่ได้สั่งซื้อภายใน 180 วันที่ผ่านมา" (ตามถ้อยคำภาษาอังกฤษ) และระบุว่าร้านค้าออนไลน์ใช้ Shopify และ "การเก็บข้อมูลสอดคล้องกับนโยบายของ Shopify" หน้านี้แสดงว่าปรับปรุงล่าสุด 7 กรกฎาคม 2569
- The Block รายงานว่านโยบายความเป็นส่วนตัวมีถ้อยคำต่างจากคำสัญญาอื่น โดยอ้างว่าปรับปรุงล่าสุดเมื่อ 2564 ซึ่งต่างจากวันที่ทีมข่าวเห็นในหน้าเว็บ ทีมข่าวไม่ทราบว่าหน้านี้ถูกแก้ไขหรือ The Block อ้างเวอร์ชันเก่า
ข้อความสองแบบนี้ต่างกัน แบบแรกนับ 180 วันจากวันสั่งซื้อ แบบที่สองนับจากการไม่ได้สั่งซื้อภายใน 180 วัน ตามถ้อยคำทั้งสองแบบ ลูกค้าที่ไม่ได้สั่งซื้อมา 214 วันควรไม่มีข้อมูลคำสั่งซื้อเหลือแล้ว ถ้าคำกล่าวของลูกค้าถูกต้อง แต่ทีมข่าวไม่ทราบว่าระบบของ Keystone ลบข้อมูลจริงอย่างไร และไม่ได้ตรวจคำสั่งซื้อของลูกค้ารายใด
Keystone ตอบอะไรแล้ว
- 24 ต.ค. เวลา 13.59 น. ตามเวลาสหรัฐฯ ฝั่งตะวันออก Keystone โพสต์คำชี้แจงหลักบน X ว่า "You trusted us with those details, and we're sorry we didn't keep them safe" (คุณไว้ใจเราเรื่องข้อมูลเหล่านั้น และเราขอโทษที่เก็บให้ปลอดภัยไม่ได้) พร้อมบอกว่าปิดทางเข้า แก้ช่องโหว่ เปิดสอบสวน และส่งอีเมลแจ้งลูกค้า ตามที่ The Block รายงาน
- ก่อนหน้านั้น เมื่อ 01.08 น. ของวันเดียวกัน Keystone โพสต์ว่าเริ่ม "การสอบสวนเร่งด่วน" และตอบผู้ใช้ที่ถามขอบเขตว่ายัง "สอบสวนอย่างละเอียด"
- Keystone สัญญาว่าจะออกรายงานโดยละเอียด "ในอีกไม่กี่วัน" ซึ่ง The Block ไม่พบรายงานนั้นในวันที่เขียนข่าว
- Keystone ไม่เปิดเผยจำนวนลูกค้าที่ได้รับผลกระทบ วิธีที่ผู้บุกรุกเข้ามา หรือผู้บุกรุกเป็นใคร และยังไม่ตอบต่อสาธารณะว่าปฏิบัติตามนโยบายลบ 180 วันหรือไม่ ตามที่ The Block รายงาน
- The Block ไม่พบว่า Keystone แก้ไขข้อมูลที่ระบุว่ารั่วจากที่แจ้งไว้เมื่อ 24 ต.ค. ตามที่เรารายงานใน ข่าว Keystone ยอมรับเว็บถูกเจาะ
ทำไมประเด็นนี้สำคัญ
ถ้าคำกล่าวของลูกค้าเป็นจริง ผู้ที่ได้รับผลกระทบอาจรวมลูกค้าเก่าที่คิดว่าข้อมูลถูกลบไปแล้ว และคนกลุ่มนี้อาจไม่ระวังสายหรือข้อความแอบอ้าง ซึ่ง Keystone เตือนไว้ตั้งแต่ 24 ต.ค. ว่ามิจฉาชีพอาจแอบอ้างเป็นบริษัท เสนอคืนเงินหรือเครื่องทดแทน และห้ามบอกวลีกู้คืนหรือกุญแจส่วนตัวกับใคร ประเด็นนี้ยังเป็นเรื่องความน่าเชื่อถือของคำสัญญาด้านความเป็นส่วนตัวของผู้ผลิตฮาร์ดแวร์วอลเล็ต ซึ่งต้องรอผลสอบสวนจึงจะสรุปได้
มุมไทย
- ทีมข่าวยังไม่พบรายงานว่ามีลูกค้าไทยได้รับผลกระทบ และ Keystone ไม่ได้เปิดเผยจำนวนหรือประเทศของลูกค้า
- ผู้ที่เคยสั่งซื้อ Keystone แม้นานกว่า 180 วันแล้ว ควรระวังสายหรือข้อความที่อ้างว่ามาจาก Keystone ไม่บอกวลีกู้คืนหรือกุญแจส่วนตัวกับใคร ไม่กดลิงก์ในข้อความที่ไม่ได้คาดไว้ และพิมพ์ที่อยู่เว็บ keyst.one เอง ตามคำแนะนำของ Keystone
- เหตุข้อมูลลูกค้าฮาร์ดแวร์วอลเล็ตรั่วเกิดซ้ำในปีนี้ เช่น Trezor ผ่านผู้ให้บริการขนส่ง ShipMonk และ SafePal ตามที่เรารายงานใน ข่าว Trezor ข้อมูลลูกค้ารั่วเพิ่ม 67,000 ราย และ ข่าว SafePal
สิ่งที่ยังไม่รู้
- คำกล่าวของลูกค้าว่าข้อมูลเก่ารั่วเป็นจริงหรือไม่ และ Keystone ลบข้อมูลตามนโยบายจริงหรือไม่
- จำนวนลูกค้า ประเทศ และช่วงเวลาสั่งซื้อที่ได้รับผลกระทบ
- ผู้บุกรุกเข้ามาอย่างไร เข้าถึงนานเท่าใด และข้อมูลถูกนำไปใช้แล้วหรือไม่
- รายงานโดยละเอียดของ Keystone ซึ่งยังไม่ออก และจะมีผู้ตรวจสอบอิสระหรือไม่
- หน้า Privacy Policy ที่ The Block อ้างว่าปรับปรุงเมื่อ 2564 กับที่ทีมข่าวเห็นว่าปรับปรุง 7 กรกฎาคม 2569 เป็นหน้าเดียวกันหรือไม่
- ทีมข่าวไม่ได้ตรวจข้อมูลสั่งซื้อของลูกค้ารายใด และเปิดหน้า Privacy Promise ของ Keystone ไม่ได้
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เรื่อง Keystone และข้อมูลลูกค้าฮาร์ดแวร์วอลเล็ตรั่วที่เราเคยรายงานไว้
👉 Trezor เผยข้อมูลลูกค้ารั่วจากผู้ให้บริการขนส่งเพิ่มอีก 67,000 ราย ยอดรวมพุ่งกว่า 80,000 คน
👉 SafePal เผยข้อมูลลูกค้าเกือบ 40,000 รายรั่วไหล จากช่องโหว่ระบบติดตามคำสั่งซื้อ
🔗 อ้างอิงต้นฉบับ: The Block (25 ต.ค. 2569), นโยบายความเป็นส่วนตัวของ Keystone, โพสต์ของ Keystone บน X (24 ต.ค. 2569)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ The Block รายงานว่าลูกค้า Keystone บางรายบอกว่าข้อมูลสั่งซื้อที่เก่าเกิน 180 วันก็ถูกรั่ว ขณะที่ Keystone เคยสัญญาว่าจะลบ และนโยบายความเป็นส่วนตัวที่ทีมข่าวอ่านก็เขียนว่าจะลบข้อมูลของลูกค้าที่ไม่ได้สั่งซื้อภายใน 180 วัน ส่วนที่ยังไม่ชัดคือคำกล่าวของลูกค้าเป็นจริงหรือไม่ และ Keystone ลบข้อมูลตามที่สัญญาจริงหรือเปล่า สำหรับผู้อ่านชาวไทยที่เคยซื้อ Keystone ข้อมูลที่ยืนยันได้ตอนนี้คือควรระวังสายและข้อความแอบอ้างตามที่บริษัทเตือน ทีมข่าวไม่ฟันธงว่า Keystone ผิดคำสัญญา และไม่ได้ชี้ว่าอุปกรณ์ Keystone ไม่ปลอดภัย เพราะรายงานระบุว่ากุญแจและวลีกู้คืนไม่รั่วตามคำชี้แจงของบริษัท สิ่งที่ต้องรอคือรายงานโดยละเอียดของ Keystone และคำตอบเรื่องนโยบายลบข้อมูล
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com