Der Hardware-Wallet-Hersteller Keystone teilte mit, dass der Angreifer hinter dem Hackerangriff auf seine Website vergangene Woche auch einen Schlüssel stahl, mit dem die Echtheit seiner Geräte überprüft wird. Damit weitet sich das Ausmaß eines Vorfalls, der zunächst als Leak von Kundendaten gemeldet worden war.

In einer Erklärung auf X am Montag warnte Keystone, dass der gestohlene Authentifizierungsschlüssel Angreifern ermöglichen könnte, gefälschte Wallets herzustellen, die die Echtheitsprüfungen des Unternehmens bestehen.

„Diese Geräte könnten dann verkauft oder an Kunden versandt werden, die sie möglicherweise unwissentlich als Originalprodukte verwenden, was letztlich zum Diebstahl von Vermögenswerten führen kann“, so Keystone.

Hardware-Wallets sind dazu konzipiert, die privaten Schlüssel, die Krypto-Bestände kontrollieren, offline zu halten, und Echtheitsprüfungen sollen bestätigen, dass ein Gerät vor seiner Einrichtung original ist. Da nun der Verifizierungsschlüssel selbst gestohlen wurde, ist ausgerechnet die Schutzmaßnahme kompromittiert, die Fälschungen aufdecken sollte.

Mit dieser Offenlegung reiht sich Keystone in eine Serie von Angriffen auf Hersteller von Hardware-Wallets in diesem Jahr ein. Anfang dieses Monats bat Ledger Wiederverkäufer in Südostasien und Hongkong, den Verkauf auszusetzen, nachdem berichtet worden war, dass in der Region verkaufte Geräte mit nicht autorisierten Implantaten ausgestattet waren, die Wiederherstellungsphrasen abfangen können. Ende Juli gab Coinkite, der Hersteller von Coldcard, eine Warnung an Nutzer heraus, nachdem Angreifer einen Fehler ausgenutzt hatten, der dazu führte, dass dessen Geräte Wallet-Seeds mit weniger Entropie als vorgesehen erzeugten, was zum Diebstahl von Kryptowährungen im Wert von Millionen Dollar führte.

Keystone will mehr als 18.000 Geräte mit altem Schlüssel vernichten

Laut Keystones aktueller Mitteilung nutzte der Angreifer eine Schwachstelle in einem Monitoring-Tool eines Drittanbieters aus, das von der Website des Unternehmens verwendet wird, um seine Privilegien zu erweitern.

„Dies ermöglichte es dem Angreifer, einige Kundeninformationen sowie einen Schlüssel zu erlangen, der zur Überprüfung der Echtheit unserer Geräte verwendet wird“, teilte das Unternehmen mit.

Keystone gab an, dass es 18.835 Geräte aus seinem Lagerbestand, die den kompromittierten Schlüssel enthalten, vernichten wird und die Produktionsauslieferungen aller Geräte, die diesen verwenden, eingestellt hat. Die Auslieferungen werden wieder aufgenommen, sobald das Unternehmen mit der Produktion von Geräten mit einem neuen Authentifizierungsschlüssel beginnt. Einen Zeitplan für die Umstellung hat Keystone nicht genannt; die Mitteilung vom Montag veröffentlichte das Unternehmen auf seinem X-Konto.

Das Unternehmen sagte, Geräte, die vor dem Vorfall am 20. Oktober hergestellt und ausgeliefert wurden, sollten als sicher gelten und ihre Echtheitsprüfungen seien weiterhin vertrauenswürdig. Für Geräte, die nach diesem Datum ausgeliefert wurden, konnte es die Echtheit jedoch nicht garantieren und forderte betroffene Kunden auf, sich zur zusätzlichen Verifizierung an sein Support-Team zu wenden.

Keystone bestätigt Leak von 25.964 Käuferdatensätzen

Keystone offenlegte zudem das Ausmaß der Datenpanne und teilte mit, dass der Shopify-Shop auf seiner Website 51.083 Käuferdatensätze generiert hatte. Davon waren 25.119 gemäß der 180-tägigen Datenaufbewahrungsrichtlinie des Unternehmens gelöscht worden.

Die verbleibenden 25.964 Datensätze aus den Jahren 2024 bis 2026 könnten vom Angreifer gestohlen worden sein. Keystone führte die Aufbewahrung der älteren Einträge auf einen Fehler in seinem automatisierten Tool zur Massenlöschung von Daten zurück.

„Das Tool arbeitete nicht zuverlässig. Einige Löschvorgänge schlugen fehl, und wir haben diese Fehler nicht rechtzeitig erkannt und behoben, sodass bestimmte personenbezogene Daten über den zulässigen Zeitraum hinaus aufbewahrt wurden“, so Keystone.

Der Angreifer könnte zudem Zugriff auf 12.873 Checkout-Datensätze von Kunden gehabt haben, die bei Shopify gespeichert waren – Informationen über nicht abgeschlossene Käufe. Keystone teilte mit, dass es Shopify kontaktiert und um die Löschung personenbezogener Daten in Checkout-Datensätzen gebeten habe, die länger als 30 Tage aufbewahrt wurden.

Ein Jahr voller Hacks bei Hardware-Wallet-Herstellern

Die Offenlegung vom Montag erinnert an eine Datenpanne bei Ledger im Juni 2020, bei der mehr als 1 Million E-Mail-Adressen sowie Kundennamen, Telefonnummern und Postadressen offengelegt wurden. Die geleakten Informationen lösten jahrelange Phishing-Versuche gegen betroffene Nutzer aus.

Auch andere Hersteller von Hardware-Wallets haben in diesem Jahr Vorfälle mit Kundendaten und Diensten von Drittanbietern erlitten. Im August gab Trezor eine Datenpanne bei seinem Versandpartner bekannt, durch die Kundendaten offengelegt wurden; die Zahl der betroffenen Nutzer stieg im September auf mehr als 80.000. SafePal meldete im August eine Schwachstelle in der Sendungsverfolgung, durch die Daten von fast 40.000 Kunden offengelegt wurden, während BitBox im September Ziel einer Phishing-Kampagne wurde, bei der ein kompromittierter E-Mail-Anbieter eines Drittanbieters involviert war.

Der Vorfall bei Keystone passt zu der through die Hacks dieses Jahres laufenden Gefährdung durch Dienstleister: Der Angreifer gelangte über ein Monitoring-Tool eines Drittanbieters ins System, ebenso wie Trezors Datenpanne auf einen Versandpartner und die BitBox-Phishing-Kampagne auf einen kompromittierten E-Mail-Anbieter zurückgeführt wurden.

Quelle: Cointelegraph