Het datalek bij Keystone Wallet heeft de maker van cryptohardwarewallets ertoe gebracht de vernietiging van 18.835 onverkochte apparaten te plannen, nadat aanvallers een sleutel hadden bemachtigd die wordt gebruikt om te controleren of de producten echt zijn. Keystone heeft de verzending van niet-uitgevoerde bestellingen via de website opgeschort terwijl het vervangende apparaten voorbereidt.

Belangrijkste punten

  • Met de gestolen authenticatiesleutel zouden nagemaakte wallets de verificatieprocedure van Keystone kunnen doorstaan.
  • Het bedrijf heeft 38.837 mogelijk blootgestelde aankoop- en afrekenrecords geïdentificeerd. Deze komen niet noodzakelijkerwijs overeen met evenveel unieke personen.
  • Keystone zei dat herstelzinnen, privésleutels, wachtwoorden en betaalgegevens niet zijn gecompromitteerd.

Waarom het datalek bij Keystone Wallet gevolgen heeft voor onverkochte apparaten

In een onderzoeksupdate van 26 oktober 2026 zei Keystone dat aanvallers tijdens een datalek op 20 oktober in zijn webwinkel toegang hadden gekregen tot de WebAuth-sleutel voor apparaatauthenticatie. Volgens het bedrijf maakten de aanvallers misbruik van een kwetsbaarheid in een externe tool voor gegevensmonitoring die aan de website was gekoppeld.

De sleutel wordt tijdens de productie in wallets ingebouwd en kan achteraf niet worden gewist of herschreven. Keystone is van plan de getroffen voorraad te vernietigen in plaats van apparaten te distribueren waarvan de echtheid moeilijk vast te stellen zou kunnen worden. Bij toekomstige productie wordt een nieuw gegenereerde sleutel gebruikt.

Keystone zei dat de inloggegevens geen herstelzinnen kunnen genereren, geen privésleutels kunnen afleiden en geen transacties kunnen autoriseren. Een aanvaller met de sleutel zou echter een nagemaakt apparaat tijdens de verificatie mogelijk legitiem kunnen laten lijken.

Advies voor bestaande walletgebruikers

Keystone zei dat wallets die vóór 20 oktober zijn ontvangen en geauthenticeerd, veilig te gebruiken blijven. Klanten die na die datum apparaten met de oudere sleutel hebben ontvangen, kregen het advies contact op te nemen met de officiële ondersteuning voor aanvullende verificatie.

Het bedrijf zei geen fysieke terugroepactie te houden en klanten niet te vragen bestaande wallets terug te sturen. Het is overgestapt op een model met voorbestellingen terwijl het vervangende apparaten voorbereidt.

Klantgegevens blootgesteld

Keystone identificeerde 25.964 aankooprecords waarin nog identificeerbare klantgegevens stonden, naast 12.873 onvolledige afrekenrecords met namen, contactgegevens en verzendinformatie. De gecombineerde 38.837 records komen niet noodzakelijkerwijs overeen met evenveel personen.

Het bedrijf zei dat het geautomatiseerde verwijderingssysteem het geadverteerde bewaarbeleid van 180 dagen niet consequent had afgedwongen. Het heeft de bewaartermijn verkort tot 90 dagen en verzoeken ingediend om achterstallige records te verwijderen. Volgens het verwerkingstijdschema van Shopify zouden deze uiterlijk op 3 november zijn afgehandeld.

Keystone is van plan getroffen klanten individueel op de hoogte te stellen en een dienst te introduceren waarmee zij kunnen controleren of hun gegevens zijn blootgesteld. Het bedrijf zei toezichthouders en wetshandhavingsinstanties in relevante rechtsgebieden, waaronder de Europese Unie en het Verenigd Koninkrijk, op de hoogte te hebben gesteld.

Volgende mijlpaal

De volgende aangekondigde mijlpaal is de verwachte afronding van de verzoeken om achterstallige gegevens uiterlijk op 3 november te verwijderen.

Meer nieuws lezen

Meer nieuws van FinanceVelix

Disclaimer

Dit artikel van FinanceVelix bevat algemene informatie en is geen persoonlijk financieel, beleggings-, juridisch of fiscaal advies. Marktprijzen, rentetarieven en economische omstandigheden kunnen veranderen; beleggen brengt het risico op verlies met zich mee. De feiten zijn gebaseerd op het materiaal dat op het moment van publicatie beschikbaar was en kunnen veranderen. Controleer belangrijke informatie zelfstandig en raadpleeg indien nodig een gekwalificeerde professional. Een vermelding van een activum, bedrijf of dienst vormt geen aanbeveling.