ตามรายงานที่ได้รับ คีย์สโตนเปิดเผยเหตุการณ์ด้านความปลอดภัยของข้อมูลลูกค้า หลังตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตเมื่อวันที่ 20 ตุลาคม และยืนยันเหตุการณ์เมื่อวันที่ 23 ตุลาคม ข้อมูลที่อาจรั่วไหลประกอบด้วยชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง และรายละเอียดคำสั่งซื้อ ขณะที่ข้อมูลบัตรชำระเงิน ข้อมูลธนาคาร วลีกู้คืน Private Key และรหัสผ่านกระเป๋าเงิน ไม่มีรายงานว่าถูกกระทบ

คีย์สโตนระบุว่าข้อมูลใดรั่วไหล

รายงานที่มีอยู่ระบุว่าเหตุการณ์นี้เป็นการละเมิดข้อมูลลูกค้า ไม่ใช่การรั่วไหลของข้อมูลกุญแจ โดยข้อมูลที่มีรายงานว่ารั่วไหล ได้แก่ ชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง และรายละเอียดคำสั่งซื้อ ในรายงานเดียวกัน คีย์สโตนระบุว่าข้อมูลบัตรชำระเงิน ข้อมูลธนาคาร วลีกู้คืน Private Key และรหัสผ่านกระเป๋าเงินไม่ได้รับผลกระทบ

ความแตกต่างนี้ตอบคำถามสำคัญที่สุดของผู้อ่านได้ก่อน นั่นคือ เหตุการณ์นี้ไม่ได้ถูกอธิบายว่าเป็นการเปิดเผยข้อมูลลับที่ใช้ควบคุมกระเป๋าเงินโดยตรง ถึงกระนั้น ชุดข้อมูลดังกล่าวยังมีความอ่อนไหว เพราะสามารถเชื่อมโยงตัวตนจริงและที่อยู่จริงเข้ากับการซื้อฮาร์ดแวร์วอลเล็ตได้

รายงานเดียวกันระบุว่า คีย์สโตนได้ปิดกั้นการเข้าถึง แก้ไขช่องโหว่ เปิดการสอบสวน และแจ้งลูกค้าทางอีเมล แต่ไม่ได้เปิดเผยจำนวนผู้ที่ได้รับผลกระทบ

เหตุใดการแจ้งเตือนผู้ซื้อเก่าจึงทำให้เกิดคำถามเรื่องการเก็บรักษาข้อมูล

หลักฐานในปัจจุบันยังไม่อาจระบุได้ว่าเหตุใดลูกค้าเก่าบางรายจึงถูกรวมอยู่ในการแจ้งเตือน รายงานที่ได้รับระบุว่า ผู้ซื้อที่ซื้ออุปกรณ์มากกว่าสองปีก่อนได้รับการแจ้งเหตุข้อมูลรั่วไหล ขณะที่ตัวอย่างข้อความจากผลการค้นหา Keystone Helpdesk ระบุว่าบริษัทได้ลดระยะเวลาการเก็บข้อมูลการจัดส่งเหลือ 180 วัน และจะลบข้อมูลหลังจากนั้น

ข้อมูลดังกล่าวเพียงพอให้เกิดข้อสงสัยเฉพาะประเด็นที่ยังไม่ได้ข้อสรุป แต่ยังไม่เพียงพอจะพิสูจน์ว่าคีย์สโตนละเมิดนโยบายของตนเอง เนื่องจากไม่ได้ตรวจสอบหน้า Helpdesk ฉบับเต็ม จึงยังไม่ชัดเจนถึงวันที่ ขอบเขต และประเภทข้อมูลที่นโยบายดังกล่าวครอบคลุม อีกทั้งยังไม่แน่ชัดว่าการแจ้งเตือนผู้ซื้อเก่าที่มีรายงานนั้นเกี่ยวข้องกับระเบียนข้อมูลชุดเดียวกับที่ระบุระยะเวลา 180 วันหรือไม่

ในทางปฏิบัติ ข้อขัดแย้งมีอยู่ชัดเจน ผู้อ่านย่อมตั้งคำถามได้ว่าเหตุใดระเบียนที่เชื่อมโยงกับการซื้อเมื่อนานมาแล้วจึงยังอยู่ในกลุ่มที่ได้รับการแจ้งเตือน อย่างไรก็ดี ยังไม่อาจสรุปได้ว่าสิ่งนี้สะท้อนการละเมิดนโยบาย การเก็บรักษาระเบียนข้อมูลคนละประเภท หรือการเปลี่ยนแปลงในภายหลังที่ไม่ปรากฏในข้อความตัวอย่าง

เหตุการณ์นี้มีความหมายอย่างไรต่อลูกค้าคีย์สโตนที่ได้รับผลกระทบ

แม้ไม่มีรายงานว่า Private Key รั่วไหล เหตุการณ์นี้ยังมีความสำคัญ เพราะข้อมูลที่รายงานว่าหลุดออกมาเชื่อมโยงตัวตน สถานที่อยู่ และการซื้อฮาร์ดแวร์วอลเล็ตเข้าด้วยกัน ซึ่งอาจทำให้อีเมลฟิชชิง ข้อความสนับสนุนปลอม การหลอกลวงเกี่ยวกับการจัดส่ง และการสวมรอยรูปแบบอื่นดูน่าเชื่อถือมากขึ้น

ดังนั้น ความเสี่ยงในทันทีจึงแตกต่างจากการถูกยึดกระเป๋าเงินโดยตรง รายงานที่ได้รับสนับสนุนให้มองเหตุการณ์นี้เป็นปัญหาด้านข้อมูลส่วนบุคคลและวิศวกรรมสังคมเป็นอันดับแรก ระหว่างรอการเปิดเผยข้อมูลที่ชัดเจนขึ้นเกี่ยวกับกลุ่มลูกค้าที่ได้รับผลกระทบ และว่าคีย์สโตนจะให้คำอธิบายเหตุการณ์ที่ครบถ้วนกว่านี้หรือไม่

ความคืบหน้าที่มีนัยสำคัญครั้งต่อไปคือประกาศเหตุการณ์หรือคำแนะนำถึงลูกค้าจากคีย์สโตนที่อ่านและตรวจสอบได้ ซึ่งระบุกลุ่มผู้ได้รับผลกระทบ ยืนยันขอบเขตข้อมูลที่ได้รับผลกระทบในแต่ละฟิลด์ และชี้แจงประเด็นการเก็บรักษาข้อมูลสำหรับระเบียนการซื้อเก่า