Der Hardware-Wallet-Hersteller Keystone hat fast 19.000 Geräte aus seinem verkaufbaren Bestand gezogen und alle unerfüllten Bestellungen über seine Website ausgesetzt, nachdem ein Angreifer den kryptografischen Schlüssel erlangt hatte, mit dem das Unternehmen prüft, ob eine Keystone-Wallet echt ist. Der Diebstahl weckt die Befürchtung, dass gefälschte Hardware Keystone eigene Authentizitätsprüfung passieren könnte.

In einer auf X veröffentlichten Erklärung teilte das Unternehmen mit, der Angreifer habe den WebAuth-Schlüssel erlangt, der seine Geräte-Authentifizierungsseite betreibt – den Mechanismus, auf den sich Käufer verlassen, um zu bestätigen, dass eine Wallet direkt vom Hersteller versandt wurde. Da sich der Schlüssel in fremden Händen befindet, könnte ein raffinierter Angreifer ihn theoretisch dazu nutzen, ein gefälschtes Gerät für jeden, den Standardverifizierungsprozess durchführt, legitim erscheinen zu lassen.

Keystone vernichtet Lagerbestand und stoppt Auslieferungen

Statt Waren auszuliefern, die sich nicht mehr zuverlässig authentifizieren ließen, kündigte Keystone an, 18.835 Geräte aus dem Lagerbestand mit dem alten WebAuth-Schlüssel zu vernichten und keine nicht versandten Website-Bestellungen zu verkaufen oder an Kunden weiterzuleiten.

Die Verschrottung von fast 19.000 Einheiten ist ein ungewöhnlicher Schritt für einen Hardware-Wallet-Hersteller und zeigt, wie ernst Keystone die Authentifizierungslücke nimmt. Das Unternehmen betonte, dass der WebAuth-Schlüssel nicht zur Erzeugung von Wiederherstellungsphrasen, zur Ableitung privater Schlüssel oder zur Transaktionssignierung verwendet wird, was bedeutet, dass Wallets, die sich bereits in den Händen der Nutzer befinden, für die Verwaltung von Krypto-Assets funktional sicher bleiben.

Keystone bestätigte außerdem, dass vor dem 20. Oktober ausgelieferte Geräte nicht betroffen sind, wie Decrypt berichtet. Das Unternehmen erklärte, es habe Vorfallberichte in der EU, im Vereinigten Königreich und in anderen Rechtsgebieten eingereicht; dabei handelt es sich jedoch um unternehmensinitiierte Offenlegungen, die keine Feststellungen oder Enforcement-Maßnahmen einer Aufsichtsbehörde darstellen. Derzeit liegen nur Keystone eigene Offenlegungen vor; eine separate Bewertung durch diese Behörden wäre eine neue Entwicklung, die es zu beobachten gilt.

Auch Kundendaten vom Vorfall betroffen

Über das Geräte-Authentifizierungsproblem hinaus legte der Vorfall auch persönliche Informationen aus Keystone Bestellhistorie offen. Decrypt berichtete, dass 25.964 Käuferdatensätze persönliche Angaben aus Käufen zwischen 2024 und 2026 enthalten.

Unchained nannte eine höhere Zahl: Insgesamt waren 51.083 Shopify-Käuferdatensätze betroffen, wobei bei 25.119 davon die persönlichen Daten bereits gelöscht worden waren. Die Zahlen der beiden Medien lassen sich rechnerisch in Einklang bringen: 51.083 minus der 25.119 gelöschten Einträge ergibt 25.964 – exakt die Anzahl, die Decrypt als weiterhin personenbezogene Daten enthaltend nannte. Zusätzlich bewahren 12.873 Datensätze unbezahlter Checkouts Namen, Kontaktinformationen und Versanddaten auf.

Die Datenoffenlegung schafft eine separate Datenschutzesorge zusätzlich zum Geräte-Authentizitätsproblem, zumal Hardware-Wallet-Kunden häufig als Kryptobesitzer identifizierbar sind.

Warum ein gestohlener Authentifizierungsschlüssel für das Fälschungsrisiko wichtig ist

Hardware-Wallets nehmen im Krypto-Ökosystem eine besondere Vertrauensrolle ein: Sie sollen manipulationssichere, air-gapped Geräte sein, die private Schlüssel niemals einem internetverbundenen Computer aussetzen. Dieses Versprechen hängt auch davon ab, dass Käufer bestätigen können, echte Hardware erhalten zu haben und kein Gerät, das unterwegs abgefangen oder ausgetauscht wurde.

Der WebAuth-Schlüssel auf Keystone Authentizitätsseite war genau der Mechanismus, der dieses Supply-Chain-Risiko adressieren sollte. Hält ein Angreifer den Schlüssel, könnte jedes von ihm hergestellte gefälschte Gerät ein plausibel wirkendes Verifizierungsergebnis erzeugen, sodass ein Käufer über die Standardprüfung keine zuverlässige Möglichkeit hat, ein echtes Gerät von einer Fälschung zu unterscheiden. Keystone Antwort – der Austausch des Schlüssels und die Vernichtung des alten Bestands – entspricht der Einordnung, dass der Verifizierungspfad als kompromittiert und nicht als reparabel gilt.

Es ist anzumerken, dass in der öffentlichen Berichterstattung über den Vorfall kein bestätigtes gefälschtes Keystone-Gerät aufgetaucht ist. Die Offenlegungen des Unternehmens beschreiben das durch den gestohlenen Schlüssel entstandene Risiko, nicht den Nachweis, dass Fälschungen bereits Käufer erreicht haben.

Was Keystone-Wallet-Nutzer jetzt tun sollten

Für Nutzer, die bereits ein Keystone-Gerät besitzen, ist die Erklärung des Unternehmens, dass der WebAuth-Schlüssel keine Rolle bei der Erzeugung von Wiederherstellungsphrasen, der Ableitung privater Schlüssel oder der Transaktionssignierung spielt, die relevanteste Information. Bestehende Wallets in den Händen legitimer Nutzer sind durch den Diebstahl des Authentifizierungsschlüssels nicht direkt kompromittiert, und korrekt aufbewahrte Seed-Phrasen bleiben geschützt. Für produktspezifische Hinweise ist der umsichtige Weg, Keystone offiziellen Kanälen direkt zu folgen, statt auf Zusammenfassungen Dritter zu setzen.

Für Käufer, deren Web-Bestellungen noch nicht versandt wurden, teilte Keystone mit, dass diese Bestellungen ausgesetzt werden. Das Unternehmen hat bislang keinen Zeitplan für Ersatz- oder Nachlieferungen öffentlich genannt; betroffene Kunden sollten die offiziellen Keystone-Kommunikationskanäle auf Updates verfolgen. Wer den Kauf eines Keystone-Geräts auf dem Zweitmarkt oder über einen Wiederverkäufer erwägt, sollte besonders vorsichtig sein, bis das Unternehmen neue Geräte mit einem neuen Authentifizierungsschlüssel ausliefert, da Geräte mit dem alten Schlüssel im Zweitmarkthandel nicht über die bisherige Authentizitätsseite verifiziert werden können.

Der Vorfall erinnert daran, dass Supply-Chain-Authentifizierung eine aktive Angriffsfläche für Hardware-Wallet-Hersteller darstellt, zumal der Wert der in Self-Custody verwahrten Assets wächst. Das allgemeine Krypto-Marktgefühl liegt laut Fear and Greed Index bei Neutral (48), und Bitcoin notiert nahe 80.646 $ – Indikatoren dafür, wie groß die Zahl der Self-Custody-Nutzer mit nennenswertem Vermögen geworden ist und wie unmittelbar finanziell die Folgen eines kompromittierten Geräts sein können.

Die zentrale Frage für Keystone ist nun, wie schnell es Geräte mit einem neuen, nicht kompromittierten WebAuth-Schlüssel neu ausgeben und den Käufern einen vertrauenswürdigen Ersatz-Authentifizierungspfad bereitstellen kann. Bis dieser Prozess abgeschlossen und unabhängig überprüfbar ist, bleibt die Authentizitätsprüfung, die das Unternehmen zum Schutz der Kunden vor gefälschter Hardware aufgebaut hat, nicht verfügbar.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte sind mit erheblichen Risiken verbunden. Führen Sie stets Ihre eigenen Recherchen durch, bevor Sie Entscheidungen treffen.