Der Hardware-Wallet-Hersteller Keystone hat Nutzer aufgefordert, seine Nexus-App nach einem Cyberangriff, der einige Dienste der Anwendung beeinträchtigte, auf Version 1.3.7 zu aktualisieren. Die am Freitag, den 6. November, verkündete Mitteilung ist bereits die dritte Sicherheitshinweisgabe des Unternehmens innerhalb von rund zwei Wochen – nach einer Datenschutzverletzung in seinem Online-Shop und dem Diebstahl eines Schlüssels, mit dem die Echtheit seiner Geräte nachgewiesen wird.

Der Angriff auf die Nexus-App und das Update auf v1.3.7

In einem Beitrag auf X erklärte Keystone, dass einige Dienste der Nexus-App durch einen Cyberangriff kompromittiert worden seien und dass eine Reihe von Nutzer die App über einen bestimmten Zeitraum hinweg nicht nutzen konnten. Das Unternehmen teilte mit, sein Team habe auf den Vorfall reagiert und die Serversicherheit gestärkt. In Keystones Ankündigung wurde nicht näher erläutert, welche Dienste betroffen waren, und der Angriff wurde auch keiner Gruppe zugeordnet.

Nach Abschluss einer Untersuchung schrieb Keystone, es habe „keine Hinweise darauf gefunden, dass Nutzer-Vermögenswerte oder persönliche Daten betroffen waren“. Das Unternehmen entschuldigte sich für die Unterbrechung und wies die Nutzer an, die App auf v1.3.7 zu aktualisieren. Zudem empfahl es, bei jeder heruntergeladenen App zu bestätigen, dass „Yanssie HK Limited“ als Entwickler aufgeführt ist, und fügte hinzu, dass eine App ohne diesen Entwickler nicht von Keystone stammt.

Eine Shop-Verletzung, die 25.964 Kundendatensätze offenlegte

Die erste Hinweisgabe betraf einen Eindringling, der Zugang zu Keystones auf Shopify basierendem Online-Shop erlangt hatte. Laut einem früheren Bericht von Cryptopolitan wurde der unbefugte Zugriff am 20. Oktober entdeckt, und am 23. Oktober bestätigte das Unternehmen, dass ein Dritter Kundendaten zum Versand abgezogen hatte; die Information wurde am Folgetag öffentlich gemacht.

Die gestohlenen Datensätze enthielten Namen, Kontaktdaten, Lieferadressen und Bestellinformationen, einschließlich der Frage, welche Geräte die Käufer erworben hatten. Das Unternehmen erklärte, Zahlungskarten, Bankdaten, Wiederherstellungsphrasen und private Schlüssel seien nicht offengelegt worden.

Berichten zufolge gehörten 25.964 Kundendatensätze aus Käufen im Zeitraum 2024 bis 2026 zu den gestohlenen Daten. Keystone erfasste vorsorglich zudem 12.873 Datensätze von nicht abgeschlossenen Checkouts.

Da auch Privatadressen Teil des Leaks waren, wies Sicherheitsforscherin Taylor Monahan darauf hin, dass dies Inhaber dem Risiko von „Wrench-Angriffen“ aussetzen könnte – körperlichen Drohungen, mit denen Besitzer zur Herausgabe ihrer Krypto-Bestände gezwungen werden. Die Krypto-Sicherheitsplattform Certik verzeichnete im ersten Halbjahr 2026 52 solcher Angriffe, gegenüber 39 Vorfällen im Vorjahr.

18.835 Wallets werden vernichtet

Wenige Tage nach der Meldung über den Diebstahl von Nutzerdaten war Keystone erneut in den Schlagzeilen: Derselbe Angreifer, der für den ersten Angriff verantwortlich war, habe auch den WebAuth-Schlüssel gestohlen, mit dem seine Geräte ihre Echtheit nachweisen. Der Angreifer habe dem Bericht zufolge eine Schwachstelle in einem Überwachungstool eines Drittanbieters auf der Website ausgenutzt, um Berechtigungen zu erweitern, und dann sowohl Kundendaten als auch den Schlüssel erbeutet.

Das Problem ist erheblich, weil der Schlüssel bei der Herstellung fest in jedem Gerät verankert ist und nicht neu geschrieben werden kann. Jeder, der den Schlüssel besitzt, könnte ein gefälschtes Gerät bauen, das Keystones eigene Echtheitsprüfung besteht. Als Reaktion beschloss Keystone, alle 18.835 unverkauften Einheiten mit dem kompromittierten Schlüssel zu verschrotten.

Das Unternehmen erklärte, eine Wallet, die vor dem 20. Oktober ausgeliefert wurde und die Prüfung besteht, sei echt. Bei Einheiten mit dem alten Schlüssel, die nach diesem Datum eingetroffen sind, könne man „die Möglichkeit, dass es sich um eine Fälschung handelt, nicht vollständig ausschließen“, und man wies diese Besitzer an, vor der Nutzung den Support zu kontaktieren. Bislang wurden keine gefälschten Geräte oder Diebstähle gemeldet.

Speicherfrist auf 90 Tage gekürzt, nachdem ein Löschtool versagte

Keystone hatte damit geworben, Versanddaten 180 Tage nach einer Bestellung zu löschen; Kunden berichteten jedoch, Verstöße-Meldungen für über zwei Jahre alte Käufe erhalten zu haben, wie Cryptopolitan berichtete. Das automatisierte Löschtool des Unternehmens hatte versagt und die alten Datensätze nicht entfernt.

Keystone verkürzte daraufhin die Speicherfrist auf 90 Tage und bat Shopify, ältere personenbezogene Daten zu löschen; die überfälligen Datensätze sollten bis zum 3. November verschwunden sein. Der Wettbewerber OneKey begrenzte nach dem Keystone-Vorfall ebenfalls seine eigene Speicherfrist auf 30 Tage.

Krypto-Projekte hatten 2026 eine schwere Reihe von Cyberangriffen zu verkraften, und Hardware-Wallet-Anbieter blieben davon nicht verschont. Im August betraf eine Datenschutzverletzung bei ShipMonk, einem Logistikpartner von Trezor, rund 81.000 Kunden. SafePal legte durch eine Schwachstelle in der Sendungsverfolgung Daten von etwa 39.798 Nutzern offen, und Ledger fand versteckte Chips in wiederverkauften Geräten, die On-Chain-Forscher mit Verlusten von über 86 Millionen Dollar in Verbindung brachten. Keystones eigene Serie von Hinweisgaben innerhalb von zwei Wochen spiegelt diese Breite wider: Die Vorfälle erstreckten sich über den Online-Shop, die Website-Tooling, den Bestand unverkaufter Geräte und die App-Dienste.