Keystone wird 18.835 Geräte nach Schlüssel-Leck zerstören

Der Hersteller von Hardware-Wallets, Keystone, wird 18.835 unverkaufte Geräte zerstören und die Auslieferung von Bestellungen nach einem Sicherheitsvorfall auf der offiziellen Website aussetzen. Ein Angreifer erlangte Zugriff auf Kundendaten und den WebAuth-Schlüssel, der zur Geräteauthentifizierung verwendet wird.

Der Angriff ereignete sich am 20. Oktober 2026 durch eine Schwachstelle in einem Drittanbieter-Tool zur Datenüberwachung: Der Angreifer erhöhte die Berechtigungen und griff auf Informationen und den Schlüssel zu. Das Leck betraf 25.964 Kundendatensätze, die Bestellungen über Shopify auf der offiziellen Website von 2024 bis 2026 aufgegeben hatten, einschließlich Namen, Kontaktdaten, Lieferadressen und Bestellinformationen, sowie 12.873 Datensätze von unvollständigen Bestellungen. Käufe über Amazon und andere Kanäle waren nicht betroffen.

Der WebAuth-Schlüssel wurde während der Herstellung in den Geräten aufgezeichnet und kann nicht entfernt oder ersetzt werden. Sein Kompromittieren ermöglicht theoretisch die Erstellung von gefälschten Geräten, die die Authentifizierung bestehen: Kunden könnten sie für echt halten und ihre Krypto-Assets gefährden. Das Unternehmen betonte, dass der Schlüssel nicht an der Generierung von Seed-Phrasen, dem Erhalt privater Schlüssel oder dem Signieren von Transaktionen beteiligt ist.

Keystone räumte ein, dass einige persönliche Daten länger als die festgelegte Frist gespeichert wurden, aufgrund eines Fehlers im automatisierten Tool zur Löschung von Datensätzen: Das Unternehmen entdeckte den Fehler nicht. Anfragen zur Löschung abgelaufener Daten wurden am 24. Oktober an Shopify gesendet, mit Abschluss bis zum 3. November. Die Speicherfrist wird von 180 auf 90 Tage reduziert.

Was Kunden tun sollten

Keystone erklärte, dass der Vorfall keine Auswirkungen auf Seed-Phrasen, private Schlüssel, andere Wallet-Zugangsdaten, Bankzahlungsinformationen und staatliche Dokumentennummern hatte, sodass ein Transfer von Vermögenswerten allein aufgrund des Lecks nicht notwendig ist. Geräte, die vor dem 20. Oktober geliefert wurden, sind sicher, wenn sie die Authentifizierung bestehen; Kunden, die ein Gerät mit dem alten Schlüssel nach diesem Datum erhalten haben, wird geraten, den Support für eine zusätzliche Überprüfung zu kontaktieren. Das Unternehmen warnte vor Betrügern, die möglicherweise "Vermögensmigration" anbieten oder die Rückgabe des Geräts verlangen.

Keystone hat die Auslieferung von Bestellungen ausgesetzt und wird auf Vorbestellungen umstellen, bis es beginnt, Geräte mit einem neuen Schlüssel herauszugeben. Neue Wallets werden einen neuen Verifizierungsschlüssel verwenden.

Zuvor wurde ein ähnlicher Vorfall von Foundation bekannt gegeben: Angreifer versandten Phishing-E-Mails von seinen offiziellen Domains. Das Unternehmen berichtete von mehr als 23.000 Phishing-Versuchen und entdeckte alte Kopien der Datenbank, die den 60-tägigen Löschprozess umgingen – etwa 5.600 E-Mail-Adressen und 5.200 Telefonnummern.