Die Datenpanne bei Keystone hat den Hersteller von Hardware-Wallets für Kryptowährungen dazu veranlasst, die Vernichtung von 18.835 unverkauften Geräten zu planen, nachdem Angreifer einen Schlüssel erlangt hatten, mit dem überprüft wird, ob seine Produkte echt sind. Keystone hat den Versand noch nicht erfüllter Bestellungen über seine Website ausgesetzt, während das Unternehmen Ersatzgeräte vorbereitet.

Die wichtigsten Erkenntnisse

  • Der gestohlene Authentifizierungsschlüssel könnte es gefälschten Wallets ermöglichen, Keystones Verifizierungsverfahren zu bestehen.
  • Das Unternehmen identifizierte 38.837 möglicherweise offengelegte Kauf- und Checkout-Datensätze, die nicht zwangsläufig einzelnen Personen zuzuordnen sind.
  • Keystone zufolge wurden Wiederherstellungsphrasen, private Schlüssel, Passwörter und Zahlungsinformationen nicht kompromittiert.

Warum die Datenpanne bei Keystone unverkaufte Geräte betrifft

In einem Untersuchungsupdate vom 26. Oktober 2026 erklärte Keystone, dass Angreifer während eines Angriffs auf den Onlineshop am 20. Oktober auf den WebAuth-Geräteauthentifizierungsschlüssel des Unternehmens zugegriffen hatten. Das Unternehmen erklärte, die Angreifer hätten eine Schwachstelle in einem Datenüberwachungstool eines Drittanbieters ausgenutzt, das mit der Website verbunden war.

Der Schlüssel wird während der Herstellung in die Wallets integriert und kann danach weder gelöscht noch überschrieben werden. Keystone plant, den betroffenen Lagerbestand zu vernichten, statt Geräte zu vertreiben, deren Echtheit möglicherweise nur schwer nachzuweisen wäre. Bei der künftigen Produktion wird ein neu generierter Schlüssel verwendet.

Keystone erklärte, dass sich mit dem Zugangsschlüssel keine Wiederherstellungsphrasen erzeugen, private Schlüssel ableiten oder Transaktionen autorisieren lassen. Ein Angreifer mit dem Schlüssel könnte jedoch möglicherweise ein gefälschtes Gerät bei der Verifizierung echt erscheinen lassen.

Hinweise für Besitzer bestehender Wallets

Keystone zufolge können Wallets, die vor dem 20. Oktober empfangen und authentifiziert wurden, weiterhin sicher verwendet werden. Kunden, die nach diesem Datum Geräte mit dem älteren Schlüssel erhalten haben, riet das Unternehmen, sich für eine zusätzliche Verifizierung an den offiziellen Support zu wenden.

Das Unternehmen erklärte, es führe keinen physischen Rückruf durch und werde Kunden nicht auffordern, bestehende Wallets zurückzusenden. Während Ersatzgeräte vorbereitet werden, ist das Unternehmen auf ein Vorbestellungsmodell umgestiegen.

Offengelegte Kundendaten

Keystone identifizierte 25.964 Kaufdatensätze, die noch identifizierbare Kundeninformationen enthielten, sowie 12.873 unvollständige Checkout-Datensätze mit Namen, Kontaktdaten und Versandinformationen. Die insgesamt 38.837 Datensätze entsprechen nicht zwangsläufig ebenso vielen Personen.

Das Unternehmen erklärte, sein automatisiertes Löschsystem habe die beworbene Aufbewahrungsfrist von 180 Tagen nicht durchgehend eingehalten. Es hat die Aufbewahrungsfrist auf 90 Tage verkürzt und Löschanträge für überfällige Datensätze eingereicht. Diese sollten gemäß dem Bearbeitungszeitplan von Shopify bis zum 3. November abgeschlossen sein.

Keystone plant, betroffene Kunden einzeln zu benachrichtigen und einen Dienst einzuführen, mit dem sie überprüfen können, ob ihre Informationen offengelegt wurden. Das Unternehmen erklärte, die Aufsichtsbehörden und Strafverfolgungsbehörden in den zuständigen Rechtsgebieten, darunter der Europäischen Union und dem Vereinigten Königreich, benachrichtigt zu haben.

Nächster Meilenstein

Als nächster Meilenstein ist der voraussichtliche Abschluss der überfälligen Datenlöschungsanträge bis zum 3. November angegeben.

Weitere Nachrichten lesen

Weitere Nachrichten von FinanceVelix

Haftungsausschluss

Dieser Artikel von FinanceVelix enthält allgemeine Informationen und stellt keine personalisierte Finanz-, Anlage-, Rechts- oder Steuerberatung dar. Marktpreise, Zinssätze und wirtschaftliche Bedingungen können sich ändern; Anlagen sind mit Verlustrisiken verbunden. Die Angaben entsprechen dem zum Veröffentlichungszeitpunkt verfügbaren Informationsstand und können sich ändern. Prüfen Sie wichtige Informationen unabhängig und wenden Sie sich bei Bedarf an eine qualifizierte Fachperson. Die Erwähnung eines Vermögenswerts, eines Unternehmens oder einer Dienstleistung stellt keine Empfehlung dar.