Keystone erkennt Datenpanne an, bestreitet jedoch Schlüsselkompromittierung

Der Hersteller von Hardware-Krypto-Wallets, Keystone, bestätigte, dass ein Angreifer Zugriff auf den Online-Shop des Unternehmens erlangte und persönliche Daten von Kunden stahl. Laut der Erklärung des Unternehmens erlangte der Hacker Namen der Kunden, Kontaktinformationen, Lieferadressen, Details zu bestellten Geräten und deren Kosten. Der unbefugte Zugriff auf die Website wurde am 20. Oktober entdeckt. Drei Tage später überprüfte das Unternehmen zusammen mit Shopify, auf dessen Plattform der Shop betrieben wird, die Aktivitäten in der API und bestätigte das Leck. Danach blockierten die Entwickler den Zugriff, beheben die Schwachstelle, starteten eine interne Untersuchung und begannen, Benachrichtigungen an die betroffenen Kunden per E-Mail zu senden.

Keystone behauptet, dass Zahlungs- und Bankdaten, Seed-Phrasen, private Schlüssel und Wallet-Passwörter nicht betroffen waren. Es gibt jedoch noch keine unabhängige Bestätigung dieser Behauptungen. Das Unternehmen hat die Anzahl der betroffenen Personen, die Methode des Systemeinbruchs oder die Identität des Angreifers nicht offengelegt. Ein detaillierter Bericht soll in den kommenden Tagen veröffentlicht werden.

Nach dem Vorfall zweifelten einige Kunden daran, dass Keystone seine eigenen Datenschutzrichtlinien einhält. Auf der Website des Herstellers steht, dass Lieferinformationen automatisch 180 Tage nach der Bestellung gelöscht werden und Kunden die sofortige Löschung nach Erhalt des Geräts beantragen können. Das Unternehmen hat dies wiederholt als Vorteil hervorgehoben. Mehrere Nutzer berichteten jedoch auf X, dass sie Benachrichtigungen über das Leck erhielten, obwohl seit ihrer Bestellung mehr als 180 Tage vergangen waren. Ein Kunde mit dem Spitznamen trintaetres_33 erwähnte, dass er vor mehr als zwei Jahren ein Wallet gekauft hatte. Ein anderer Nutzer bemerkte, dass 214 Tage zwischen seiner letzten Bestellung und dem Verstoß vergangen waren.

Ein weiterer Kunde unter dem Pseudonym PEPE_Whale69 schlug Alarm, bevor die offizielle Erklärung des Herstellers veröffentlicht wurde. Ihm zufolge erhielt er einen Anruf von einer gefälschten Nummer der Polizei von Montreal, in dem gefragt wurde, ob er die Namen Amazon, eBay oder Keystone kenne. Der Anrufer hatte Informationen, die mit den Bestelldaten von PEPE_Whale69 bei Keystone im Jahr 2024 übereinstimmten. Als Reaktion erklärte das Unternehmen, dass es eine dringende Untersuchung eingeleitet habe, aber nicht öffentlich auf die Frage zur 180-Tage-Regel einging. In der aktuellen Datenschutzrichtlinie, die am 7. Juli 2026 aktualisiert wurde, wird der Zeitraum nicht ab dem Bestelldatum, sondern ab dem letzten Kauf gezählt. Laut dem Dokument löscht das Unternehmen Daten nur für diejenigen Kunden, die 180 Tage lang nichts bestellt haben. Wenn ein Kunde eine neue Bestellung aufgibt, werden Informationen über frühere Bestellungen beibehalten. Die gleiche Klausel ist im Hilfe-Center-Artikel enthalten, der zuletzt im Februar 2023 aktualisiert wurde.

Erinnern wir uns daran, dass der Hersteller von Hardware-Wallets, Trezor, im August von einem Datenleck von fast 14.000 Kunden berichtete, nachdem der Logistikpartner ShipMonk kompromittiert wurde. Im September meldete das Unternehmen weitere 67.000 Betroffene, wodurch die Gesamtzahl der von dem Vorfall betroffenen Nutzer auf fast 81.000 stieg. Die kompromittierte Datenbank enthielt Namen, Telefonnummern, E-Mail-Adressen und Lieferadressen.