Keystone vernichtet 18.835 Hardware-Wallets nach Diebstahl des Geräte-Authentifizierungsschlüssels durch Hacker
Wichtige Erkenntnisse
- •Angreifer nutzten eine Schwachstelle in einem Drittanbieter-Tool zur Datenüberwachung aus, um am 20. Oktober auf Keystones Website zuzugreifen, und stahlen den WebAuth-Schlüssel, mit dem originale Hardware-Wallets verifiziert werden.
- •Da der gestohlene Schlüssel bei der Herstellung eingebettet wird und auf bereits im Umlauf befindlichen Geräten nicht rotiert werden kann, wird Keystone 18.835 Wallets vernichten und Lieferungen aussetzen, bis Ersatz-Geräte mit einem neuen Schlüssel bereit sind.
- •Der Angriff legte personenbezogene Daten aus 25.964 Kundenkaufdatensätzen und 12.873 unvollständigen Checkout-Datensätzen offen, darunter Namen, Kontaktdaten, Lieferadressen und Kaufhistorien.
- •Keystone erklärte, der gestohlene Schlüssel könne keine Seed-Phrasen generieren, keine privaten Schlüssel ablehnen und keine Kryptocurrency-Transaktionen autorisieren, und es seien keine gefälschten Geräte bestätigt, die die Zugangsdaten ausnutzen.
- •Das Unternehmen warnte Kunden vor betrügerischen Rückrufmitteilungen und Ersatz-Angeboten und betonte, dass es Nutzer niemals auffordern werde, Seed-Phrasen preiszugeben oder Geräte infolge unaufgeforderter Anfragen zurückzusenden.
Der Hersteller von Kryptocurrency-Hardware-Wallets Keystone hat eingeräumt, dass sein jüngster Sicherheitsvorfall weitaus schwerwiegender war als zunächst berichtet: Angreifer stahlen einen kritischen Authentifizierungsschlüssel, der gefälschten Geräten das Bestehen der offiziellen Verifizierungsprüfungen des Unternehmens ermöglichen könnte.
Das Unternehmen machte diese erweiterte Offenlegung am 26. Oktober 2026, nachdem zunächst nur die Offenlegung von Kundendaten gemeldet worden war. Als Reaktion plant Keystone die Vernichtung von 18.835 Hardware-Wallets, den Stopp ausstehender Lieferungen und die Einführung stärkerer Authentifizierungsschutzmaßnahmen.
Angreifer erbeuten WebAuth-Schlüssel
Keystone bemerkte den unbefugten Zugriff auf seine offizielle Website erstmals am 20. Oktober. Ermittler stellten später fest, dass die Angreifer eine Schwachstelle in einem Drittanbieter-Tool zur Datenüberwachung ausnutzten, was ihnen erweiterte Zugriffsrechte verschaffte.
Zu den entwendeten Daten gehörte Keystones WebAuth-Schlüssel, die Zugangsdaten, mit denen überprüft wird, ob Hardware-Wallets Originale sind. Solche Prüfungen ermöglichen es Käufern zu bestätigen, dass ein Gerät legitim und nicht gefälscht oder manipuliert ist – was die Zugangsdaten zum Kern des Vertrauens in das Produkt selbst macht.
Der Schlüssel wird bei der Produktion in die Geräte eingebettet, was bedeutet, dass er auf bereits im Umlauf befindlichen Einheiten weder gelöscht noch ersetzt werden kann – anders als ein geleaktes Passwort kann er nicht einfach rotiert werden. Theoretisch könnten Kriminelle daher gefälschte Wallets herstellen, die Keystones offiziellen Authifizierungsprozess bestehen und ahnungslose Kryptocurrency-Inhaber potenziell Diebstahl von Vermögenswerten aussetzen. Keystone betonte jedoch, dass der gestohlene Schlüssel keine Seed-Phrasen generieren, keine privaten Schlüssel ablehnen und keine Kryptocurrency-Transaktionen autorisieren kann. Das Unternehmen erklärte, es seien keine Fälle bestätigt, in denen gefälschte Geräte die kompromittierten Zugangsdaten ausnutzten.
18.835 Geräte sollen vernichtet werden
Nach der Entdeckung kündigte Keystone an, 18.835 Geräte zu vernichten, die den kompromittierten Authentifizierungsschlüssel enthalten. Das Unternehmen hat zudem die Lieferung ausstehender Website-Bestellungen ausgesetzt, bis Ersatz-Geräte verfügbar sind.
Neu gefertigte Wallets werden einen anderen Authentifizierungsschlüssel tragen. In der Zwischenzeit hat Keystone den Verkauf auf seiner Website auf ein Vorbestellungsmodell umgestellt, während der Ersatz-Aufbau vorbereitet wird.
Die Untersuchung ergab außerdem, dass Hacker auf personenbezogene Daten im Zusammenhang mit 25.964 Kundenkaufdatensätzen zugriffen. Keystone identifizierte zudem 12.873 unvollständige Checkout-Datensätze, die möglicherweise sensible Kundendaten enthielten. Zu den offengelegten Daten gehörten Namen, Kontaktinformationen, Lieferadressen und Kaufhistorien. Das Unternehmen räumte ein, dass Ausfälle seines automatisierten Löschsystems dazu geführt hatten, dass einige Kundendaten länger als vorgesehen gespeichert blieben.
Nutzer vor Betrug gewarnt
Keystone erklärte, Wallets, die vor dem 20. Oktober geliefert wurden, seien vertrauenswürdig, sofern sie die Authentifizierungsprüfungen bestehen. Kunden, die nach diesem Datum Geräte mit dem älteren Schlüssel erhalten haben, werden gebeten, sich zur zusätzlichen Verifizierung an den offiziellen Support zu wenden.
Das Unternehmen warnte Nutzer außerdem vor betrügerischen Rückrufmitteilungen, Ersatz-Angeboten und Aufforderungen, Kryptocurrency-Vermögenswerte zu übertragen. Keystone betonte, dass es Kunden niemals auffordern werde, Seed-Phrasen preiszugeben oder Geräte infolge unaufgeforderter Rückrufe zurückzusenden. Diese Warnungen wiegen angesichts der offengelegten Datensätze besonders schwer, da echte Namen, Adressen und Bestellhistorien betrügerische Nachrichten für Empfänger glaubwürdig erscheinen lassen können.
Auch wenn private Schlüssel und Seed-Phrasen nicht kompromittiert wurden, macht der Vorfall deutlich, dass die Sicherheitsrisiken für Hersteller von Hardware-Wallets über die Geräte selbst hinausgehen und Kundendaten sowie die Authentifizierungssysteme umfassen auf denen das Vertrauen der Anleger beruht. Beobachtenswert ist unter anderem, ob gefälschte Geräte bestätigt werden, wann die Ersatzlieferungen im Vorbestellungsmodell wieder aufgenommen werden und welche Form die von Keystone zugesagten stärkeren Authentifizierungsschutzmaßnahmen annehmen werden.
