Datenpanne bei Keystone
Der Hardware-Wallet-Hersteller Keystone gab am Samstag eine Datenpanne bekannt, bei der unbefugter Zugriff auf seine Website dazu führte, dass Namen, Versandadressen, Kontaktdaten und Kaufdetails offengelegt wurden. Das Unternehmen betont, dass Wiederherstellungsphrasen und private Schlüssel jedoch sicher geblieben sind.
Dieser Vorfall reiht Keystone in eine wachsende Liste von Herstellern von Hardware-Wallets ein, die im Jahr 2026 mit Sicherheitsproblemen konfrontiert sind, darunter Ledger, Trezor, Safepal und Coldcard.
Sicherheitsproblem im Online-Shop
Ein Hardware-Wallet, das entwickelt wurde, um Kryptowährungsgeheimnisse offline zu halten, hat ein Sicherheitsproblem an einem ganz anderen Ort entdeckt: seinem Online-Shop. Am Samstag um 13:59 Uhr ET gab Keystone bekannt, dass eine unbefugte Partei Kundenversandinformationen über seine Website erlangt hatte, was Betrügern möglicherweise die persönlichen Details lieferte, die benötigt werden, um das Unternehmen zu impersonieren.
Keystone besteht darauf, dass Wiederherstellungsphrasen, private Schlüssel und Zahlungsinformationen nicht kompromittiert wurden. Dennoch wirft der Vorfall die unangenehme Frage auf, wie viel Schutz eine Offline-Brieftasche bietet, wenn die Identität und Adresse ihres Besitzers offengelegt werden.
Reaktion auf den Vorfall
Keystone informierte auf X darüber, dass am 20. Oktober verdächtiger Zugriff festgestellt wurde und daraufhin die Aktivitäten der Anwendungsprogrammierschnittstelle (API) mit Shopify, seinem E-Commerce-Anbieter, untersucht wurden. Bis zum 23. Oktober hatte das Unternehmen bestätigt, dass eine unbefugte dritte Partei Kundennamen, Kontaktdaten, Versandadressen und Kaufdetails erlangt hatte.
Das Unternehmen erklärte, dass es den Eindringling blockiert, die Schwachstelle gepatcht und begonnen hat, betroffene Kunden zu benachrichtigen. Keystone hat jedoch nicht bekannt gegeben, wie viele Käufer betroffen waren oder wie genau der unbefugte Zugriff erfolgte.
„Ich möchte hier nur das Bewusstsein schärfen, denn ich bin zu 99 % überzeugt, dass Ihre Kundendatenbank möglicherweise geleakt wurde. Ich erhielt einen Anruf von einer gefälschten Montreal SPVM-Nummer, und der Typ versuchte, mich durch Social Engineering zu manipulieren“, schrieb das X-Konto OG Degen.
Warnung an die Kunden
Keystone warnte die Kunden vor betrügerischen Rückerstattungsangeboten, Ersatzgeräten und unerwünschten Nachrichten, die sensible Informationen anfordern. Das Unternehmen betonte, dass es niemals nach Wiederherstellungsphrasen oder privaten Schlüsseln fragt. Kunden sollten die Kommunikation über die offizielle Website von Keystone unabhängig überprüfen, anstatt unerwarteten Links zu folgen.
Schwieriges Jahr für Hardware-Wallet-Hersteller
Die Offenlegung von Keystone folgt einem schwierigen Jahr für Hersteller von Hardware-Wallets. Coldcard hatte mit einem massiven Fehler bei der schwachen Zufallszahlengenerierung zu kämpfen und erlitten erhebliche geschätzte Verluste, während Ledger mit Berichten über manipulierte Geräte konfrontiert war, die über einen Wiederverkäufer verteilt wurden. Trezor und Safepal gaben ebenfalls Datenpannen bekannt, die Informationen von Kunden betrafen und Drittfirmen für die Erfüllung oder Bestellung einbezogen.
Im Gegensatz zu Vorfällen mit kompromittierten Wiederherstellungsphrasen schufen diese Expositionen hauptsächlich Gelegenheiten für Phishing und Identitätsdiebstahl. Für Keystone hielten die kryptografischen Abwehrmaßnahmen Berichten zufolge stand. Die besorgniserregende Frage bleibt, ob die persönlichen Informationen der Kunden einen vergleichbaren Schutz erhielten.
Am 13. Oktober gab der Hardware-Wallet-Hersteller Ledger neue Details darüber bekannt, wie Kriminelle mit seinen Hardware-Wallets manipuliert hatten.
