Hardware-portemonneefabrikant Keystone heeft een datalek bij klanten bevestigd waarbij namen, contactgegevens, verzendadressen en aankoopgegevens zijn blootgelegd nadat een onbevoegde derde partij toegang kreeg tot de website.

Het bedrijf ontdekte verdachte toegang op 20 oktober 2026 en bevestigde de gegevensdiefstal op 23 oktober na onderzoek van Shopify API-activiteit. Bij de gecompromitteerde gegevens hoorden de producten die klanten hadden gekocht en de bijbehorende prijzen — details die gebruikt kunnen worden om eigenaren van hardware-portemonnees en hun fysieke adressen te achterhalen. Omdat hardware-portemonnees de privésleutels die cryptobezittingen beheren offline bewaren, worden gegevens die een specifiek apparaat aan een woonadres koppelen als gevoelig beschouwd, zelfs als de apparaten zelf niet gecompromitteerd zijn.

Keystone maakte het incident op 24 oktober openlijk bekend in een verklaring op X, waarin werd bevestigd dat betaalkaartgegevens, bankinformatie, herstelzinnen, privésleutels en portemonneewachtwoorden niet zijn blootgelegd.

De fabrikant heeft sindsdien de onbevoegde toegang geblokkeerd, het beveiligingslek gedicht en is begonnen getroffen klanten per e-mail te informeren. Het bedrijf heeft niet gezegd hoeveel klanten zijn blootgesteld of hoe de aanvaller aan de informatie is gekomen.

Shopify API-activiteit legde aankoopgegevens bloot

Het onderzoek van Keystone voerde de onbevoegde toegang terug naar de e-commerce-infrastructuur die de website ondersteunt, en niet naar een compromittering van de hardware-portemonnees zelf. De blootgelegde gegevens combineren klantidentiteiten en bezorgadressen met specifieke aankoophistorie, wat aanvallers mogelijkheden biedt om zich voor te doen als derikant met behulp van echte transactiegegevens.

Een aanvaller kan verwijzen naar de werkelijke bestelling, het gekochte apparaat of het verzendadres van een klant bij pogingen om via frauduleuze telefoongesprekken, e-mails of berichten meer informatie te achterhalen. Keystone heeft gewaarschuwd dat oplichters terugbetalingen, vervangende hardware-portemonnees of hulp bij vermeende bezorgproblemen kunnen aanbieden, waarbij dergelijke benaderingen per e-mail, sms, telefoon of post kunnen binnenkomen.

Het bedrijf heeft de aanvaller niet geïdentificeerd, niet vastgesteld hoeveel gegevens zijn gestolen en niet bekendgemaakt of de inbraak via gecompromitteerde API-inloggegevens, een kwetsbaarheid in een applicatie of een andere toegangsmethode verliep. De betrokkenheid van Shopify bij het API-onderzoek wijst er niet op dat de bredere infrastructuur van Shopify is gecompromitteerd.

Latest in een reeks datalekken bij portemonneefabrikanten

Het incident volgt op een reeks vergelijkbare datalekken bij fabrikanten van cryptohardware-portemonnees en hun e-commercepartners.

In september breidde Trezor zijn onderzoek naar een datalek bij ShipMonk uit nadat bleek dat ongeveer 67.000 extra Amerikaanse klanten hun persoonsgegevens waren blootgelegd. Bij de getroffen gegevens hoorden namen, telefoonnummers, e-mailadressen, verzendgegevens en bestelhistorieën die teruggaan tot 2019, waarmee een incident dat aanvankelijk 13.689 klanten betrof aanzienlijk werd uitgebreid.

In augustus maakte SafePal een kwetsbaarheid in de orderregistratie bekend waarbij persoonlijke en aankoopgegevens van 39.798 klanten werden blootgelegd. Het bedrijf herleidde het incident tot een autorisatiefout in een plug-in die werd gebruikt om verzendinformatie op te vragen.

In januari werden klanten van Ledger geconfronteerd met gerichte phishingpogingen na een datalek bij e-commercepartner Global-e, waarbij frauduleuze berichten circuleerden met klantgegevens die via de derde partij waren blootgelegd — een reeks die lijkt op de oplichtingsbenaderingen waarvoor Keystone nu zijn eigen klanten waarschuwt.

Hoewel de technische oorzaken en de getroffen infrastructuur verschilden, betrof elk geval klantgegevens die werden beheerd door commerciële of fulfilmentsystemen.

Waarschuwing voor valse vervangende apparaten

Keystone heeft klanten opgeroepen niet op links in onverwachte berichten te klikken en bij het zoeken naar ondersteuning rechtstreeks naar de officiële website te gaan. De fabrikant waarschuwde specifiek tegen het invoeren van herstelzinnen in ongevraagde vervangende apparaten of het delen van privésleutels met iedereen die beweert namens de klenservice te werken.

Klanten die al een herstelzin aan een vermoedelijke oplichter hebben verstrekt, moeten die portemonnee als gecompromitteerd beschouwen en resterende tegoeden overzetten naar een nieuwe portemonnee die met een nieuwe herstelzin is aangemaakt.

Keystone zet het onderzoek voort en is van plan de komende dagen een gedetailleerd technisch rapport te publiceren. Het bedrijf heeft geen bewijs van cryptodiefstal als gevolg van het lek bekendgemaakt, en heeft ook geen tijdlijn bevestigd voor het afronden van de klantenmeldingen. Het komende onderzoeksrapport wordt naar verwachting meer details over de inbraak en de getroffen klantgegevens bevatten.