Keystone, ein Hersteller von Bitcoin-Hardware-Wallets, die die privaten Codes, die die Kryptobestände der Nutzer kontrollieren, offline halten, teilte am Montag mit, dass das Unternehmen 18.835 unverkaufte Geräte vernichten wird, nachdem ein Angreifer den permanenten Werkschlüssel erhalten hat, mit dem die Echtheit der Produkte überprüft wird. Das Unternehmen hat zudem den Versand aller noch nicht versandten Bestellungen über seine Website ausgesetzt.

Der am 20. Oktober entdeckte Vorfall betraf außerdem 25.964 Kundendatensätze aus keystones Shopify-Shop aus den Jahren 2024 bis 2026, darunter Namen, Kontaktdaten und Lieferadressen. Keystone zufolge waren Seed-Phrasen und private Schlüssel nicht betroffen, und Geräte, die vor dem 20. Oktober ausgeliefert wurden, sind nicht betroffen.

Für Käufer besteht das konkrete Risiko in einer gefälschten Wallet, die nagelneu aussieht und keystones eigene Verifizierungsprüfung besteht, da der Angreifer genau den Schlüssel erhalten hat, auf den sich die Prüfung stützt. Ein Krimineller könnte ein solches Gerät an jemanden verkaufen, der echte Ersparnisse darauf lädt.

"Wenn er offengelegt wird, könnte ein Angreifer ihn nutzen, um gefälschte Geräte herzustellen, die die Authentifizierungsprüfungen bestehen", teilte Keystone in seiner Erklärung mit. "Diese Geräte könnten dann an Kunden verkauft oder versandt werden, die sie unwissentlich als Originalprodukte nutzen könnten, was möglicherweise zum Diebstahl von Vermögenswerten führen kann."

Keystone bezeichnet das kompromittierte Credential als WebAuth-Schlüssel, einen Geheimcode, der in jedem Gerät ab Werk hinterlegt wird, damit eine Seite auf der Website des Unternehmens die Echtheit der Hardware bestätigen kann. Er kann weder gelöscht noch überschrieben werden – deshalb werden die 18.835 betroffenen Geräte im Lagerbestand vernichtet statt verkauft, und künftige Geräte müssen stattdessen um einen neuen Schlüssel herum entwickelt werden.

Keystone hatte erstmals am Samstag mitgeteilt, dass ein Dritter Kundeninformationen zum Versand erhalten hatte. Die Erklärung vom Montag ergänzte den gestohlenen Schlüssel und die Zahl von 25.964 betroffenen Kundendatensätzen, nennt jedoch weder den Verantwortlichen noch den Zeitpunkt des erstmaligen Zugriffs des Angreifers.

Der Vorfall betraf Datensätze aus keystones Shopify-Shop, der E-Commerce-Plattform, die den Online-Verkauf abwickelte. Laut Keystone waren insgesamt 51.083 Kundendatensätze betroffen, bei 25.119 davon waren die personenbezogenen Daten jedoch bereits gelöscht, sodass 25.964 Datensätze aus den Jahren 2024 bis 2026 verbleiben, die noch Namen, Kontaktdaten, Lieferadressen und Bestellinformationen enthielten. Käufe über Amazon und andere Kanäle waren nicht betroffen.

Ein Teil dieser Daten hätte bereits gelöscht sein müssen, was bedeutet, dass ein Teil des durch den Vorfall offengelegten Materials aus Datensätzen bestand, deren Löschung Keystone zugesichert hatte. Die Richtlinie des Unternehmens sah vor, Kundendatensätze nach 180 Tagen zu löschen, doch das automatisierte Massenlöschwerkzeug, das zu diesem Zweck entwickelt wurde, arbeitete nicht zuverlässig.

"Einige Löschvorgänge sind fehlgeschlagen, und wir haben diese Fehler nicht rechtzeitig erkannt und behoben, sodass bestimmte personenbezogene Daten über den zulässigen Zeitraum hinaus gespeichert blieben", teilte Keystone mit. "Wir haben unsere Zusage, Kundendaten rechtzeitig zu löschen, nicht eingehalten, und wir übernehmen die Verantwortung für dieses Versäumnis."

Kundenlisten sind eine wiederkehrende Schwachstelle bei Herstellern von Hardware-Wallets. Ledgers Leak im Jahr 2020 erreichte letztlich rund 292.000 Kunden, und diejenigen, die anschließend Phishing-E-Mails erhielten, machten sich Sorgen, Ziel von Einbrüchen werden zu können. Trezor und SafePal meldeten im August jeweils Datenschutzvorfälle mit Kundendaten, die 13.689 bzw. etwa 39.798 Kunden betrafen.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Namen und Adressen sind wegen sogenannter Wrench-Attacken relevant, bei denen Kriminelle mit Drohungen oder körperlicher Gewalt versuchen, Besitzer zur Herausgabe ihrer Kryptowährungen zu zwingen. Chainalysis zählte im ersten Halbjahr 2026 46 gewaltsame Angriffe mit einem gestohlenen Gesamtbetrag von mehr als 30 Millionen US-Dollar.

Der Hersteller warnte zudem vor Betrügern, die "Asset Migration", "Wallet-Verifizierung" oder "Untersuchungshilfe" anbieten.

"Wir werden Sie niemals bitten, Ihr Gerät zurückzusenden", erklärte das Unternehmen. "Jeder, der Sie unter dem Vorwand eines 'Rückrufs' kontaktiert und Sie auffordert, Ihr Gerät zu versenden, sollte als Betrüger behandelt werden."

Der Verkauf auf keystones Website wird auf Vorbestellungen umgestellt, bis die Produktion von Geräten mit einem neuen Schlüssel abgeschlossen ist. Das Unternehmen hat Berichte an Behörden in der EU, in Großbritannien und anderen Rechtsgebieten übermittelt.

Keystone hat die Speicherfrist für Kundendaten von 180 auf 90 Tage verkürzt und Shopify am 24. Oktober aufgefordert, alle überfälligen Kundendaten zu löschen – ein Prozess mit einer Wartezeit von 10 Tagen. Das Unternehmen erwartet, dass die Löschung am 3. November abgeschlossen sein wird, wodurch betroffene Kunden ein konkretes Datum erhalten.