Crypto-hardwarewalletmaker Keystone heeft een website-inbreuk bekendgemaakt waarbij klantgegevens aan aanvallers zijn blootgesteld, wat zorgen oproept over gerichte oplichting en fysieke aanvallen.

Het bedrijf meldde zaterdag dat het eerder in de week verdachte activiteit had ontdekt en vrijdag, na het beoordelen van API-activiteit bij Shopify, bevestigde dat een onbevoegde derde partij toegang had gekregen tot verzendgegevens van klanten. De gelekte gegevens omvatten namen, contactgegevens, verzendadressen en andere orderinformatie, zoals de gekochte artikelen.

"We hebben de toegang geblokkeerd, het lek gedicht, een onderzoek gestart en getroffen klanten worden per e-mail geïnformeerd", aldus het bedrijf in een verklaring op X.

Keystone waarschuwde dat de gelekte informatie kan worden gebruikt voor gerichte phishing-aanvallen. Onderzoeker Taylor Monahan uitte daarnaast zorgen en wees erop dat gelekte verzendadressen klanten bloot kunnen stellen aan fysieke aanvallen en ontvoeringen. Het incident onderstreept een specifiek risico van het bezit van hardware wallets: de apparaten zijn ontworpen om privésleutels offline te houden, maar de klantgegevens die fabrikanten bewaren kunnen tegen de houder van de wallet worden gebruikt.

De bekendmaking komt te midden van een toename van zogenaamde "wrench attacks" — misdrijven waarbij fysieke dreiging of geweld wordt gebruikt om cryptohouders te dwingen hun activa af te staan. Blockchainbeveiligingsbedrijf CertiK registreerde 52 geverifieerde wrench attacks wereldwijd in de eerste helft van 2026, een stijging van 33% ten opzichte van 39 in dezelfde periode vorig jaar.

"Nogmaals, het spijt ons oprecht dat iedereen die is getroffen", aldus Keystone. Het bedrijf maakte niet bekend hoeveel klanten zijn getroffen.

Vragen over belofte van Keystone om klantgegevens te verwijderen

De inbreuk roept ook vragen op over de omgang Keystone met oudere klantgegevens. In een blogpost uit 2023 meldde het bedrijf dat het de bewaartermijn voor klantgegevens had teruggebracht tot 180 dagen, na beveiligingsincidenten bij andere fabrikanten van hardware wallets.

Enkele klanten meldden echter dat ze een melding van de inbreuk ontvingen, hoewel ze hun apparaat ruim twee jaar geleden hadden gekocht. Dat roept vragen op over welke informatie Keystone heeft bewaard en of de meldingen erop wijzen dat oudere ordergegevens niet zijn verwijderd zoals beloofd.

Een X-gebruiker met de naam "OG DEGEN" meldde een telefoontje te hebben ontvangen van een oplichter die beweerde dat hij bij wetshandhaving werkte en een fraudezaak onderzocht. Op basis van de persoonlijke informatie die de beller noemde, vermoedde de gebruiker dat deze afkomstig was van een Keystone-bestelling uit 2024.

"Ik denk dat hun plan was om mij te overtuigen dat mijn privésleutels waren gelekt en dat ze mij daarna een phishinglink zouden sturen om die schijnbaar te resetten", schreef de gebruiker op X. Die combinatie van impersonatie, urgentie en een link om gelekte sleutels te "herstellen" volgt een bekend phishingpatroon dat erop gericht is gebruikers hun herstelzin — de reeks woorden waarmee de inhoud van een hardware wallet overal kan worden hersteld — op een door aanvallers beheerde site te laten invoeren.

Een andere X-gebruiker, trintaetres, meldde eveneens de e-mailmelding te hebben ontvangen, ondanks de aankoop van het apparaat ruim twee jaar geleden.

Cointelegraph nam contact op met Keystone om te vragen hoe klantgegevens van aankopen van meer dan 180 dagen geleden konden worden blootgesteld, ondanks het eerder aangekondigde bewaarbeleid, en hoeveel klanten zijn getroffen. Het bedrijf had op het moment van publicatie niet gereageerd. Nu het onderzoek loopt, zullen getroffen klanten en waarnemers vooral in de gaten houden of Keystone uitlegt waarom gegevens buiten de termijn van 180 dagen schijnbaar zijn bewaard, en hoeveel mensen zijn blootgesteld.