Der Hardware-Wallet-Hersteller Keystone hat nach einem Website-Einbruch den Diebstahl von Kundendaten und eines Schlüssels zur Geräteauthentifizierung bestätigt. Weil Angreifer damit gefälschte Wallets durch den Echtheitstest bringen könnten, will das Unternehmen 18.835 Lagergeräte vernichten und hat den Versand ausstehender Website-Bestellungen gestoppt.

Gestohlener Schlüssel untergräbt Keystones Echtheitsprüfung

Laut der Stellungnahme vom 26. Oktober entdeckte Keystone den unbefugten Zugriff am 20. Oktober 2026. Der Angreifer nutzte eine Schwachstelle in einem nicht namentlich genannten Überwachungswerkzeug eines Drittanbieters, um seine Zugriffsrechte auszuweiten. Keystone zufolge wurden die Zugänge noch am selben Tag blockiert, die Schwachstelle behoben und forensische Untersuchungen eingeleitet.

Tipp der Redaktion: Krieg im Mittleren Osten steht unmittelbar bevor: Das steht für Bitcoin und Krypto auf dem Spiel

Besonders folgenreich ist der entwendete WebAuth-Schlüssel. Keystone schreibt:

„Der Schlüssel bildet die Vertrauensgrundlage unseres Mechanismus zur Geräteauthentifizierung. Wird er offengelegt, könnte ein Angreifer damit gefälschte Geräte herstellen, die die Echtheitsprüfungen bestehen. Diese Geräte könnten anschließend an Kunden verkauft oder versandt werden, die sie unwissentlich als Originalprodukte verwenden, wodurch Vermögenswerte gestohlen werden könnten.“

Der Schlüssel wird bei der Herstellung in die Geräte geschrieben und lässt sich weder löschen noch überschreiben. Er dient ausschließlich der Echtheitsprüfung, nicht der Seed-Erzeugung, der Ableitung privater Schlüssel oder der Transaktionssignierung. Die Produktion soll den alten Schlüssel ab sofort nicht mehr verwenden. Neue Geräte sollen einen neuen Schlüssel erhalten. Bis diese produziert sind, stellt Keystone den Website-Verkauf auf Vorbestellungen um.

Der Vorfall umfasste laut Keystone 51.083 Käuferdatensätze aus dem offiziellen Shopify-Shop. Bei 25.119 waren personenbezogene Angaben bereits vor dem Zugriff gelöscht und Bestelldaten anonymisiert worden. Die übrigen 25.964 enthielten Namen, Kontaktdaten, Lieferadressen und Bestellinformationen aus den Jahren 2024 bis 2026. Käufe über Amazon und andere Vertriebskanäle seien nicht betroffen.

Hinzu kommen 12.873 Checkout-Datensätze ohne abgeschlossene Zahlung, die ebenfalls persönliche Angaben enthielten. Die Zahlen bezeichnen Datensätze, nicht zwingend unterschiedliche Personen. Recovery-Phrasen, private Wallet-Schlüssel, sonstige Wallet-Zugangsdaten, Bankzahlungsinformationen und staatliche Identifikationsnummern seien nicht betroffen gewesen.

Dass ältere Daten noch vorhanden waren, führt Keystone auf ein unzuverlässiges automatisiertes Löschwerkzeug zurück. Fehlgeschlagene Vorgänge seien nicht rechtzeitig erkannt worden:

„Dies offenbarte Schwächen bei der Gestaltung und der betrieblichen Überwachung unserer Datenverarbeitungsprozesse. Wir haben unsere Zusage, Kundendaten fristgerecht zu löschen, nicht eingehalten und übernehmen dafür die Verantwortung.“

Lesetipp: Krypto-Haltefrist: CDU-Mann Güntzler nimmt Klingbeils Steuerpläne auseinander

Die Aufbewahrungsfrist sinkt von 180 auf 90 Tage. Löschanträge für Käuferdaten jenseits dieser Frist und Checkout-Daten älter als 30 Tage wurden am 24. Oktober eingereicht. Für Käuferdaten erwartet Keystone den Abschluss nach einer Shopify-Wartefrist am 3. November.

Was Keystone-Nutzer jetzt beachten sollen

Vor dem 20. Oktober zugestellte Geräte können laut Keystone bei bestandener Echtheitsprüfung normal verwendet werden. Bei später erhaltenen Geräten mit altem Schlüssel reiche ein erfolgreicher Test dagegen nicht aus, um Fälschungen vollständig auszuschließen. Betroffene sollen über die offizielle Authentifizierungsseite zusätzliche Prüfungen beim Support veranlassen und das Gerät erst nach bestätigter Echtheit verwenden.

Eine Vermögensübertragung allein wegen des Vorfalls sei nicht erforderlich. Keystone warnt vor angeblichen „Wallet-Verifizierungen“, „Vermögensmigrationen“ und Rückrufen. Das Unternehmen werde keine Geräterücksendungen verlangen. Nutzer sollten die offizielle Domain selbst eintippen, statt Links aus unbekannten Nachrichten zu öffnen.

Der Fall betrifft ein wiederkehrendes Risiko der Selbstverwahrung mit Hardware-Wallets: Kundendaten können auch außerhalb der eigentlichen Schlüsselverwaltung offengelegt werden. Trezor meldete 2026 nach einem Datenleck beim Versandpartner ShipMonk 80.689 betroffene Kunden. Auch dort waren ältere Bestelldaten trotz zugesicherter Löschung vorhanden.

Keystone kündigt individuelle Benachrichtigungen, Abfrageseiten zu Datenbetroffenheit und Löschstatus sowie ein Sicherheitsaudit an. Meldungen in der EU, Großbritannien und weiteren Rechtsräumen seien bereits erfolgt. Ein Termin für die Wiederaufnahme des Versands wird nicht genannt.