Keystone จะทำลายวอลเล็ตที่ยังไม่ขาย 18,835 เครื่อง หลังกุญแจตรวจของแท้ถูกขโมย ยอมรับลบข้อมูลลูกค้าไม่ทัน
Keystone (Keystone Hardware Wallet) ผู้ผลิตฮาร์ดแวร์วอลเล็ตคริปโต แจ้งเมื่อวันที่ 26 ตุลาคม 2569 ว่าผู้บุกรุกที่เจาะเว็บไซต์ของบริษัทได้กุญแจยืนยันอุปกรณ์ (device authentication key หรือ WebAuth key) ที่ใช้ตรวจว่าวอลเล็ตเป็นของแท้ บริษัทจึงจะทำลายวอลเล็ตที่ยังไม่ได้ขายและฝังกุญแจเดิมไว้ 18,835 เครื่อง พร้อมยอมรับว่าระบบลบข้อมูลลูกค้าตามที่เคยสัญญาไว้ทำงานไม่ตามกำหนด ตามที่ Bitcoin.com News, DeFi Prime และ ETHNews รายงานโดยอ้างคำชี้แจงของ Keystone บน X ทีมข่าวเปิดอ่านคำชี้แจงต้นฉบับบน X ไม่ได้เพราะต้องล็อกอิน และเนื้อหาข่าวของ The Defiant โหลดไม่ขึ้น เห็นเพียงหัวข้อและคำโปรย ตัวเลขทั้งหมดในข่าวนี้จึงเป็นตัวเลขที่ Keystone แจ้ง ตามที่สื่อเหล่านี้สรุป
Keystone แจ้งอะไรเมื่อ 26 ตุลาคม
- Keystone ตรวจพบการเข้าถึงเว็บไซต์ผิดปกติเมื่อ 20 ตุลาคม จึงปิดฟังก์ชันที่เสี่ยงและเริ่มสอบสวน ผลสอบสวนชี้ว่าต้นเหตุคือช่องโหว่ในเครื่องมือเฝ้าระวังข้อมูลของบุคคลที่สาม ซึ่งเปิดทางให้ผู้บุกรุกยกระดับสิทธิ์ ตามที่ DeFi Prime และ Bitcoin.com รายงาน โดย Keystone ไม่ระบุชื่อเครื่องมือ
- กุญแจ WebAuth ถูกฝังในอุปกรณ์ตอนผลิต ลบหรือเขียนใหม่ภายหลังไม่ได้ และ DeFi Prime รายงานว่า Keystone ไม่มีการอัปเดตเฟิร์มแวร์ที่เปลี่ยนกุญแจนี้ได้
- Keystone เตือนว่ากุญแจที่ถูกขโมยอาจทำให้เครื่องปลอมผ่านการตรวจความแท้ของ Keystone ได้ (ตามถ้อยคำที่ DeFi Prime อ้าง "The stolen WebAuth key can allow counterfeit devices to pass Keystone's authenticity checks")
- รายงานที่ทีมข่าวอ่านไม่ได้ระบุว่าพบเครื่องปลอมที่ใช้กุญแจนี้แล้ว
- วอลเล็ต 18,835 เครื่องที่จะถูกทำลายเป็นสินค้าคงคลังที่ยังไม่ได้ขาย ไม่ใช่เครื่องที่ลูกค้าถืออยู่ ตามที่ ETHNews และ Bitcoin.com รายงาน รายงานเหล่านั้นไม่ระบุรุ่น ต้นทุน หรือว่ารวมเครื่องที่อยู่ระหว่างขนส่งหรือไม่
- Keystone ระงับการจัดส่งคำสั่งซื้อบนเว็บที่ยังไม่ส่ง และเปลี่ยนเป็นพรีออเดอร์จนกว่าจะผลิตเครื่องด้วยกุญแจใหม่เสร็จ โดยไม่มีกำหนดเวลา
- Keystone บอกว่าไม่ได้เรียกคืนอุปกรณ์จากผู้บริโภค และเตือนว่าใครอ้างว่ามีการเรียกคืนแล้วขอให้ส่งวอลเล็ตกลับ คือมิจฉาชีพ
- Keystone แจ้งว่าวลีกู้คืน กุญแจส่วนตัว ข้อมูลรับรองวอลเล็ต และข้อมูลการชำระเงินไม่รั่ว และ DeFi Prime รายงานว่า Keystone ไม่ได้รายงานการถูกขโมยเหรียญบนเชน
เจ้าของเครื่องต้องทำอะไร ตามคำแนะนำของ Keystone
- เครื่องที่ส่งถึงมือก่อน 20 ตุลาคมและผ่านการตรวจความแท้ ใช้ได้ตามปกติ ตามที่ Keystone ประเมินอยู่ในขณะนี้
- เครื่องที่ได้รับหลัง 20 ตุลาคมและฝังกุญแจเดิมไว้ ต้องตรวจเพิ่มผ่านฝ่ายสนับสนุนของ Keystone ก่อนใช้ แม้จะผ่านการตรวจออนไลน์ เพราะ Keystone ตัดความเป็นไปได้ที่เป็นเครื่องปลอมไม่ได้เต็มที่ ต้นฉบับที่สื่อรายงานใช้คำว่า "received" ทีมข่าวไม่ทราบว่าเส้นแบ่ง 20 ตุลาคมนับจากวันรับหรือวันจัดส่ง และ Keystone ไม่อธิบายว่าการตรวจเพิ่มทำอย่างไร
- ถ้าเครื่องไม่ผ่านการตรวจ ให้หยุดใช้ ไม่ใส่วลีกู้คืนในเครื่อง เก็บผลการตรวจไว้ และติดต่อฝ่ายสนับสนุนอย่างเป็นทางการ ตามที่ DeFi Prime รายงาน
- Keystone บอกว่าไม่จำเป็นต้องย้ายสินทรัพย์เพียงเพราะเหตุนี้ และให้ระวังข้อเสนอที่ไม่ได้ร้องขอ เช่น อ้างช่วยย้าย ตรวจสอบ หรือสืบสวนให้
ข้อมูลลูกค้า Keystone ยอมรับว่าลบไม่ทัน
- Keystone ตรวจรายการผู้ซื้อ 51,083 รายการจากร้านบน Shopify (แพลตฟอร์มร้านค้าออนไลน์) พบ 25,119 รายการที่ลบข้อมูลส่วนบุคคลแล้ว เหลือเพียงข้อมูลคำสั่งซื้อแบบไม่ระบุตัวตน ส่วนอีก 25,964 รายการยังมีชื่อ ช่องทางติดต่อ ที่อยู่จัดส่ง และประวัติสั่งซื้อช่วงปี 2567 ถึง 2569 ตามที่ DeFi Prime และ Bitcoin.com รายงาน
- Keystone ระบุว่าเครื่องมือลบข้อมูลจำนวนมากไม่ทำงานเสถียรและพลาดงานที่ล้มเหลว จึงไม่เป็นไปตามนโยบายลบข้อมูลที่ประกาศไว้ 180 วัน Bitcoin.com อ้างคำของ Keystone ว่า "เราไม่ได้ทำตามคำมั่นที่จะลบข้อมูลลูกค้าให้ทันเวลา และเรารับผิดชอบต่อความล้มเหลวนี้" (แปลโดยทีมข่าว)
- Shopify ยังเก็บรายการเช็กเอาต์ที่ยังไม่ชำระอีก 12,873 รายการ ซึ่งมีข้อมูลติดต่อและที่อยู่จัดส่งที่ผู้ใช้กรอกไว้ บางรายการอาจไม่ครบหรือไม่ถูกต้อง ตามที่ DeFi Prime รายงาน
- Keystone ลดระยะเก็บข้อมูลเหลือ 90 วัน และขอลบข้อมูลผู้ซื้อที่เก่ากว่า 90 วันกับข้อมูลเช็กเอาต์ที่เก่ากว่า 30 วันเมื่อ 24 ตุลาคม คาดว่าเสร็จ 3 พฤศจิกายน เพราะ Shopify มีช่วงรอ 10 วัน ตามที่ DeFi Prime รายงาน
- Bitcoin.com รายงานว่า Keystone แจ้งหน่วยงานกำกับดูแลในสหภาพยุโรป สหราชอาณาจักร และเขตอำนาจอื่นแล้ว และมีแผนทำเครื่องมือตรวจว่าข้อมูลรั่วหรือไม่ รวมถึงตรวจความปลอดภัยเพิ่ม โดยยังไม่มีกำหนดเวลาในรายงานที่ทีมข่าวอ่าน
- ตัวเลขทั้งหมดเป็นของ Keystone ทีมข่าวตรวจเองไม่ได้
เรื่องข้อมูลเก่าเกิน 180 วัน เรารายงานไว้เมื่อ 25 ตุลาคมว่าลูกค้าหลายรายบอกว่าข้อมูลที่ควรถูกลบแล้วยังรั่ว และ Keystone ยังไม่ตอบ ซึ่งคำชี้แจงรอบนี้ของ Keystone ตอบประเด็นนั้นแล้วว่ามีข้อมูลที่ไม่ได้ถูกลบตามกำหนดจริง ตามที่เรารายงานใน ข่าวลูกค้า Keystone บอกข้อมูลเก่ารั่ว
มุมไทย
- ทีมข่าวไม่พบรายงานว่ามีลูกค้าไทยได้รับผลกระทบ และ Keystone ไม่ได้เปิดเผยจำนวนหรือประเทศของลูกค้า
- เจ้าของ Keystone ที่ได้รับเครื่องหลัง 20 ตุลาคมควรทำตามที่ Keystone แนะนำ คือติดต่อฝ่ายสนับสนุนผ่านช่องทางทางการเพื่อตรวจเพิ่ม ส่วนหน้าตรวจความแท้ของ Keystone (keyst.one/authentication) ยังใช้ขั้นตอนเดิม คือสแกน QR กรอกรหัสที่เครื่องแสดง แล้วรอผล แต่ตามคำเตือนของ Keystone ผลที่ผ่านอย่างเดียวอาจไม่พอสำหรับเครื่องที่ได้รับหลัง 20 ตุลาคม
- ผู้ที่เคยซื้อ Keystone ในช่วงปี 2567 ถึง 2569 ควรระวังสาย ข้อความ หรืออีเมลที่อ้างว่ามาจาก Keystone หรืออ้างว่าเรียกคืนเครื่อง ตามคำเตือนของ Keystone เอง
สิ่งที่ยังไม่รู้
- วอลเล็ต 18,835 เครื่องเป็นรุ่นอะไร และต้นทุนของการทำลายเป็นเท่าใด
- เครื่องที่ส่งถึงลูกค้าหลัง 20 ตุลาคมมีกี่เครื่อง และการตรวจเพิ่มทำอย่างไร
- ผู้บุกรุกเข้าถึงกุญแจ WebAuth ได้อย่างไร และเครื่องมือของบุคคลที่สามที่มีช่องโหว่คืออะไร
- มีเครื่องปลอมที่ผ่านการตรวจแล้วหรือไม่ และ Keystone จะเริ่มผลิตและจัดส่งเครื่องที่ใช้กุญแจใหม่เมื่อไร
- เนื้อหาคำชี้แจงต้นฉบับของ Keystone บน X ซึ่งทีมข่าวอ่านเองไม่ได้ ข้อมูลทั้งหมดจึงมาจากสื่อที่สรุปไว้
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เรื่อง Keystone และความเสี่ยงของผู้ผลิตฮาร์ดแวร์วอลเล็ตที่เรารายงานไว้
👉 Trezor เผยข้อมูลลูกค้ารั่วจากผู้ให้บริการขนส่งเพิ่มอีก 67,000 ราย ยอดรวมพุ่งกว่า 80,000 คน
🔗 อ้างอิงต้นฉบับ: Bitcoin.com News, DeFi Prime, ETHNews, The Defiant (26 ต.ค. 2569 อ่านได้เฉพาะหัวข้อและคำโปรย), คำชี้แจงของ Keystone บน X (26 ต.ค. 2569 ต้องล็อกอินจึงอ่านเนื้อหาไม่ได้), หน้าตรวจความแท้ของ Keystone
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ ที่ Keystone จะทำลายเป็นสินค้าที่ยังไม่ได้ขาย 18,835 เครื่อง ไม่ใช่เครื่องของลูกค้า และวลีกู้คืนกับกุญแจส่วนตัวไม่รั่วตามที่บริษัทแจ้ง ส่วนความเสี่ยงที่ Keystone ระบุเองคือเครื่องปลอมที่ผ่านการตรวจความแท้ได้ ซึ่งกระทบเครื่องที่ได้รับหลัง 20 ตุลาคมเป็นหลัก เหตุที่ต้องทำลายสินค้าทั้งชุดสะท้อนว่ากุญแจที่ฝังตอนผลิตแก้ภายหลังไม่ได้ ทีมข่าวยังไม่ทราบรุ่น ต้นทุน และกำหนดการผลิตกุญแจใหม่ สำหรับผู้อ่านชาวไทยที่ใช้ Keystone การตรวจวันที่ได้รับเครื่องและทำตามคำแนะนำของบริษัทเป็นสิ่งที่ทำได้ทันที ส่วนเรื่องข้อมูลลูกค้า คำยอมรับของ Keystone ว่าลบไม่ทันกำหนดเป็นสิ่งที่ต้องดูต่อว่ามาตรการ 90 วันและการลบรอบ 3 พฤศจิกายนจะเสร็จตามที่ระบุหรือไม่ ทีมข่าวไม่ฟันธงว่าอุปกรณ์ Keystone ทุกเครื่องไม่ปลอดภัย และยังไม่มีข้อมูลที่ชี้ว่ามีเครื่องปลอมถูกใช้จริง
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com