Keystone Hardware Wallet hat bestätigt, dass ein unbefugter Zugriff auf seine offizielle Website Kundennamen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdaten offenlegte. Der Angriff wurde am 20. Oktober 2026 entdeckt und drei Tage später, am 23. Oktober, nach einer Überprüfung der Shopify-API-Aktivitäten bestätigt, wie aus einer Offenlegung des Hardware-Wallet-Herstellers vom 24. Oktober hervorgeht.

In der Mitteilung teilte das Unternehmen mit, dass ein unbefugter Dritter Orderinformationen erlangt habe. Keystone blockierte den Zugriff, behob die identifizierte Schwachstelle und leitete eine Untersuchung ein. Das Unternehmen konnte den Angreifer bislang nicht identifizieren, und die Zahl der betroffenen Kunden ist weiterhin unbekannt. Dem Bekanntgeben lag keine Aufstellung der kompromittierten Transaktionen bei.

Wu Blockchain, ein Krypto-Nachrichtenkanal aus der Branche, teilte die Offenlegung auf X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Orderdaten offengelegt, Wallet-Zugangsdaten unberührt

Der Vorfall legte Datensätze offen, die mit dem Kauf von Krypto-Speichergeräten in Verbindung stehen – nicht jedoch Informationen, die in den Wallets selbst gespeichert sind. Die kompromittierten Datensätze enthielten die gekauften Produkte und die gezahlten Preise sowie die Identitäten der Kunden und ihre Lieferadressen. Die betroffenen Informationen verknüpften Gerätekäufe somit mit identifizierbaren Kunden, doch eine Kompromittierung von Wallet-Zugangsdaten wurde nicht gemeldet.

Da Hardware-Wallets physische Waren sind, die versendet werden müssen, halten deren Hersteller dieselbe Kategorie von Handelsdaten wie jeder E-Commerce-Händler – ein strukturelles Merkmal des Marktes, das Kundenidentitätsdaten in Shop-Systemen platziert, unabhängig davon, wie sicher die Geräte selbst funktionieren.

Keystone erklärte, dass Kreditkartennummern, Bankverbindungen, Wallet-Passwörter, private Schlüssel und Recovery-Phrases nicht offengelegt wurden. Seine Wallets signieren Transaktionen offline und kommunizieren per QR-Code statt über direkte Verbindungen zu internetfähigen Geräten.

Shopify-Infrastruktur lässt Fragen offen

Shopify betreibt den Online-Shop des Herstellers und verarbeitet dessen Orderinformationen, wie aus der Datenschutzrichtlinie des Unternehmens hervorgeht. Die Richtlinie besagt außerdem, dass Datensätze nach 180 Tagen gelöscht werden, wenn ein Kunde keine weitere Bestellung aufgegeben hat. Die Löschklausel gibt keinen Aufschluss darüber, welche früheren Käufe von diesem Datenleck betroffen waren, und die Offenlegung nannte die betroffenen Kaufzeiträume nicht.

Die Mitteilung ließ zudem offen, wie lange der unbefugte Zugriff möglich war. Den Eittlern ist es bislang nicht gelungen, den Angriff öffentlich zuzuordnen oder die genaue Methode des Eindringens in die Website zu erläutern. Betroffene Kunden werden per E-Mail benachrichtigt, und das Unternehmen kündigte einen ausführlicheren Vorfallbericht an, ohne ein Veröffentlichungsdatum zu nennen.

Phishing-Warnungen an Kunden

Trotz der Zusicherungen zur Wallet-Sicherheit warnte Keystone seine Kunden vor betrügerischen Rückerstattungsangeboten, Ersatzgeräte-Maschen und Nachrichten, die Bestellhilfe behaupten. Solche Kontaktaufnahmen können per E-Mail, Telefonanruf oder SMS erfolgen. Bei allen geht es um Angaben zur Bestellung oder zum Gerät eines Kunden – genau die in den offengelegten Datensätzen enthaltenen Informationen. Kunden wurden geraten, keine Recovery-Phrases oder privaten Schlüssel preiszugeben, keine Recovery-Phrases in unerwartet zugesandte Ersatzgeräte einzugeben und keinen verdächtigen Links zu folgen. Das Unternehmen forderte die Kunden auf, jede Kommunikation über seine offiziellen Kanäle zu überprüfen.

Teil eines größeren Musters bei Hardware-Wallet-Anbietern

Das Datenleck reiht sich in eine Serie von Kundendaten-Vorfällen bei Hardware-Wallet-Anbietern ein. Im August gab Trezor ein Datenleck bei seinem Versanddienstleister ShipMonk bekannt und identifizierte später rund 67.000 zusätzliche betroffene US-Kunden. Auch SafePal meldete einen Autorisierungsfehler in seiner Sendungsverfolgung, der 39.798 Kunden betraf und bei dem persönliche und Kaufdaten offengelegt wurden, ohne dass Wallet-Zugangsdaten direkt kompromittiert wurden.

Zusammen genommen betreffen die Vorfälle verschiedene Ebenen der Verkaufskette – eine Shop-Plattform bei Keystone, einen Versanddienstleister bei Trezor und eine Sendungsverfolgungsfunktion bei SafePal. In allen Fällen befanden sich die offengelegten Informationen in Bestell- oder Fulfillment-Systemen und nicht in den Signaturmechanismen der Wallets. Keystone hat die Zahl der betroffenen Kunden, die zugrunde liegende Zugriffsmethode oder den Zeitraum des unbefugten Zugriffs bislang nicht öffentlich genannt. Der angekündigte, noch undatierte ausführliche Vorfallbericht soll diese Antworten liefern.