Keystone-Breach setzt Adressen von Hardware-Wallet-Käufern dem Risiko aus
Wichtige Erkenntnisse
- •Keystone bestätigte nach Prüfung der API-Aktivitäten mit Shopify, dass ein unbefugter Dritter auf Versanddaten von Kunden zugegriffen hatte, darunter Namen, Kontaktdaten, Adressen und Bestelldetails.
- •Das Unternehmen erklärte, es habe den Zugang blockiert, die Schwachstelle behoben, eine Untersuchung eingeleitet und benachrichtigt die betroffenen Kunden per E-Mail; die Zahl der Betroffenen wurde nicht genannt.
- •Sicherheitsforscherin Taylor Monahan warnte, dass durchgesickerte Lieferadressen Kunden physischen Angriffen und Entführungen aussetzen könnten – über die von Keystone selbst genannten Phishing-Risiken hinaus.
- •Die Offenlegung erfolgt inmitten eines Anstiegs von Wrench Attacks: CertiK verzeichnete weltweit 52 bestätigte Vorfälle im ersten Halbjahr 2026, ein Anstieg von 33% gegenüber 39 im Vorjahreszeitraum.
- •Kunden, die ihre Geräte vor mehr als zwei Jahren gekauft hatten, erhielten Benachrichtigungen – das wirft Fragen auf, ob Keystone Daten über seine angekündigte 180-tägige Aufbewahrungsrichtlinie hinaus gespeichert hat.
Der Hersteller von Crypto-Hardware-Wallets Keystone hat einen Website-Sicherheitsvorfall offengelegt, bei dem Kundendaten Angreifern in die Hände fielen – und damit Bedenken gezielter Betrugsmaschen und physischer Angriffe schüren.
Das Unternehmen teilte am Samstag mit, es habe bereits früher in der Woche verdächtige Aktivitäten bemerkt, und bestätigte am Freitag nach Prüfung der API-Aktivitäten mit Shopify, dass ein unbefugter Dritter auf Versanddaten von Kunden zugegriffen hatte. Dazu gehörten Namen, Kontaktdaten, Lieferadressen und weitere Bestelldetails wie die gekauften Artikel.
„Wir haben den Zugang blockiert, die Schwachstelle behoben, eine Untersuchung eingeleitet und benachrichtigen die betroffenen Kunden per E-Mail“, erklärte das Unternehmen in einer Erklärung auf X.
Keystone warnte, dass die offengelegten Informationen für gezielte Phishing-Angriffe missbraucht werden könnten. Sicherheitsforscherin Taylor Monahan äußerte zusätzliche Bedenken und wies darauf hin, dass durchgesickerte Lieferadressen Kunden physischen Angriffen und Entführungen aussetzen könnten. Der Vorfall verdeutlicht eine Besonderheit beim Besitz von Hardware-Wallets: Die Geräte sind darauf ausgelegt, private Schlüssel offline zu halten, doch die Kundendaten, die deren Hersteller vorhalten, können gegen den Wallet-Besitzer verwendet werden.
Die Offenlegung erfolgt inmitten eines Anstiegs sogenannter „Wrench Attacks“ – Verbrechen, bei denen physische Drohungen oder Gewalt eingesetzt werden, um Kryptobesitzer zur Herausgabe ihrer Assets zu zwingen. Die Blockchain-Sicherheitsfirma CertiK verzeichnete weltweit 52 bestätigte Wrench Attacks im ersten Halbjahr 2026, ein Anstieg von 33% gegenüber 39 im Vergleichszeitraum des Vorjahres.
„Noch einmal: Es tut uns aufrichtig leid für alle Betroffenen“, erklärte Keystone. Das Unternehmen gab nicht bekannt, wie viele Kunden betroffen sind.
Keystone wegen Versprechen zur Löschung von Kundendaten in der Kritik
Der Vorfall wirft auch Fragen zur Handhabung älterer Kundendaten durch Keystone auf. In einem Blogbeitrag aus dem Jahr 2023 hatte das Unternehmen mitgeteilt, dass es nach Sicherheitsvorfällen bei anderen Hardware-Wallet-Herstellern die Speicherdauer Kundendaten auf 180 Tage verkürzt habe.
Einige Kunden erklärten jedoch, sie hätten Benachrichtigungen über den Vorfall erhalten, obwohl sie ihre Geräte vor mehr als zwei Jahren gekauft hatten. Das wirft die Frage auf, welche Informationen Keystone aufbewahrt hat und ob die Benachrichtigungen darauf hindeuten, dass ältere Bestelldaten nicht wie versprochen gelöscht wurden.
Ein X-Nutzer mit dem Namen „OG DEGEN“ erklärte, er habe einen Anruf von einem Betrüger erhalten, der vorgab, eine Strafverfolgungsbehörde zu sein, die einen Betrugsfall untersuche. Basierend auf den persönlichen Informationen, auf die der Anrufer verwies, vermutete der Nutzer, dass diese über eine 2024 aufgegebene Keystone-Bestellung erlangt wurden.
„Ich denke, ihr Plan war es, mir zu erzählen, dass meine privaten Schlüssel kompromittiert seien, und mir dann einen Phishing-Link zu schicken, über die ich sie angeblich zurücksetzen könne“, schrieb der Nutzer auf X. Diese Kombination aus Identitätsdiebstahl, Dringlichkeit und einem Link zur „Behebung“ kompromittierter Schlüssel folgt einer bekannten Phishing-Struktur, die darauf abzielt, Nutzer dazu zu bringen, ihre Wiederherstellungsphrase – die Wortfolge, mit der sich der Inhalt einer Hardware-Wallet überall wiederherstellen lässt – auf einer vom Angreifer kontrollierten Website einzugeben.
Ein weiterer X-Nutzer, trintaetres, erklärte ebenfalls, er habe die E-Mail-Benachrichtigung erhalten, obwohl er das Gerät vor mehr als zwei Jahren gekauft hatte.
Cointelegraph kontaktierte Keystone, um zu erfragen, wie Kundendaten aus Bestellungen, die mehr als 180 Tage zurücklagen, trotz der zuvor angekündigten Aufbewahrungsrichtlinie offengelegt werden konnten und wie viele Kunden betroffen waren. Bis zur Veröffentlichung gab das Unternehmen keine Antwort. Während die Untersuchung noch läuft, werden betroffene Kunden und Beobachter insbesondere darauf achten, ob Keystone erklärt, warum Daten über das 180-Tage-Fenster hinaus aufbewahrt worden zu sein scheinen, und wie viele Menschen betroffen sind.
