Der Hardware-Wallet-Hersteller Keystone hat einen Kundendatenvorfall bestätigt, bei dem Namen, Kontaktinformationen, Lieferadressen und Kaufunterlagen offengelegt wurden, nachdem ein unbefugter Dritter Zugriff auf seine Website erhalten hatte.

Das Unternehmen bemerkte am 20. Oktober 2026 verdächtige Aktivitäten und bestätigte den Datendiebstahl am 23. Oktober nach Untersuchung der Shopify-API-Aktivitäten. Zu den kompromittierten Unterlagen gehörten die von Kunden gekauften Produkte und deren Preise – Details, die zur Identifizierung von Hardware-Wallet-Besitzern und deren Wohnadressen genutzt werden könnten. Da Hardware-Wallets die privaten Schlüssel, die die Kryptobestände kontrollieren, offline halten, gelten Unterlagen, die ein bestimmtes Gerät einer Wohnadresse zuordnen, als sensibel, selbst wenn die Geräte selbst nicht kompromittiert wurden.

Keystone machte den Vorfall am 24. Oktober in einer Erklärung auf X öffentlich bekannt und bestätigte, dass Zahlungs kartendaten, Bankinformationen, Wiederherstellungsphrasen, private Schlüssel und Wallet-Passwörter nicht offengelegt wurden.

Der Hersteller hat inzwischen den unbefugten Zugriff blockiert, die Schwachstelle geschlossen und damit begonnen, betroffene Kunden per E-Mail zu informieren. Es ist nicht bekannt, wie viele Kunden betroffen sind oder wie der Angreifer an die Informationen gelangt ist.

Shopify-API-Aktivitäten legten Kaufunterlagen offen

Keystones Untersuchung führte den unbefugten Zugriff auf die E-Commerce-Infrastruktur zurück, die seine Website unterstützt, und nicht auf eine Kompromittierung seiner Hardware-Wallet-Geräte. Die offengelegten Daten verbinden Kundenidentitäten und Lieferadressen mit spezifischen Kaufhistorien und schaffen so Möglichkeiten für Angreifer, sich unter Verwendung echter Transaktionsdetails als Hersteller auszugeben.

Ein Angreifer könnte sich bei betrügerischen Anrufen, E-Mails oder Nachrichten auf die tatsächliche Bestellung eines Kunden, das gekaufte Gerät oder die Lieferadresse beziehen, um weitere Informationen zu erlangen. Keystone warnt, dass Betrüger Erstattungen, Ersatz-Hardware-Wallets oder Hilfe bei angeblichen Lieferproblemen anbieten könnten; solche Kontaktaufnahmen könnten per E-Mail, Textnachricht, Telefonanruf oder Post erfolgen.

Das Unternehmen hat den Angreifer nicht identifiziert, nicht festgestellt, wie viele Datensätze abgriffen wurden, und nicht offengelegt, ob der Angriff kompromittierte API-Zugangsdaten, einesschwachstelle oder eine andere Zugriffsmethode betraf. Die Einbeziehung von Shopify in die API-Untersuchung bedeutet nicht, dass Shopifys breitere Infrastruktur kompromittiert wurde.

Neuester Fall in einer Reihe von Datenpannen bei Wallet-Herstellern

Der Vorfall folgt auf eine Reihe ähnlicher Vorfälle, an denen Hersteller von Kryptowallets und deren E-Commerce-Partner beteiligt waren.

Im September weitete Trezor seine Untersuchung eines Datenvorfalls bei ShipMonk aus, nachdem festgestellt worden war, dass rund 67.000 weitere US-Kunden von der Offenlegung ihrer persönlichen Daten betroffen waren. Zu den betroffenen Unterlagen gehörten Namen, Telefonnummern, E-Mail-Adressen, Versanddetails und Bestellhistorien bis zurück ins Jahr 2019, wodurch sich der Umfang eines Vorfalls, anfänglich 13.689 Kunden, erheblich ausweitete.

Im August gab SafePal eine Schwachstelle in der Sendungsverfolgung bekannt, durch die persönliche und Kaufinformationen von 39.798 Kunden offengelegt wurden. Das Unternehmen führte den Vorfall auf eine Autorisierungsschwachstelle in einem Plug-in zur Abfrage von Sendungsinformationen zurück.

Im Januar sahen sich Ledger-Kunden gezielten Phishing-Versuchen ausgesetzt, nachdem es zu einem Datenvorfall beim E-Commerce-Partner Global-e gekommen war; betrügerische Nachrichten kursierten unter Verwendung von Kundendaten, die über den Drittanbieter offengelegt worden waren – ein Ablauf, der den Nachschiebe-Betrugsversuchen ähnelt, vor denen Keystone nun seine eigenen Kunden warnt.

Obwohl sich die technischen Ursachen und die betroffene Infrastruktur unterschieden, betraf jeder Fall Kundeninformationen, die in Handels- oder Fulfillment-Systemen vorgehalten wurden.

Warnung vor gefälschten Ersatz-Geräten

Keystone hat seine Kunden dringend gebeten, nicht auf Links in unerwarteten Nachrichten zu klicken und bei Supportanfragen die offizielle Website direkt aufzurufen. Der Hersteller warnte ausdrücklich davor, Wiederherstellungsphrasen in unaufgefordert zugesandte Ersatz-Geräte einzugeben oder private Schlüssel an jemanden weiterzugeben, der vorgibt, zum Kundenservice-Team zu gehören.

Kunden, die bereits eine Wiederherstellungsphrase an einen mutmaßlichen Betrüger weitergegeben haben, sollten die entsprechende Wallet als kompromittiert betrachten und verbleibende Guthaben in eine neue Wallet übertragen, die mit einer frischen Wiederherstellungsphrase erstellt wurde.

Keystone setzt seine Untersuchung fort und plant, in den kommenden Tagen einen ausführlichen technischen Bericht zu veröffentlichen. Das Unternehmen hat keine Hinweise auf einen Kryptodiebstahl infolge des Vorfalls offengelegt und keinen Zeitplan für den Abschluss der Kundenbenachrichtigungen bestätigt. Der bevorstehende Untersuchungsbericht soll weitere Details zum Angriff und zu den betroffenen Kundendatensätzen liefern.