Keystone, een fabrikant van Bitcoin hardware wallets die de privatieve codes waarmee gebruikers hun crypto beheren offline bewaren, heeft maandag aangekondigd 18.835 onverkochte apparaten te vernietigen nadat een aanvaller de permanente fabriekssleutel heeft verkregen waarmee wordt geverifieerd dat de producten echt zijn. Het bedrijf heeft ook de verzending van alle niet-verzonden bestellingen via de website opgeschort.

Het datalek, ontdekt op 20 oktober, trof ook 25.964 kopersgegevens uit de Shopify-winkel van Keystone, daterend van 2024 tot 2026, waaronder namen, contactgegevens en verzendadressen. Keystone zegt dat herstelzinnen en privésleutels niet betrokken waren en dat apparaten die vóór 20 oktober zijn geleverd niet zijn getroffen.

Voor kopers ligt het concrete risico in een namaak-wallet die er gloednieuw uitziet en de eigen verificatiecontrole van Keystone doorstaat, omdat de aanvaller precies de sleutel heeft verkregen waarop die controle steunt. Een crimineel zou zo'n apparaat kunnen verkopen aan iemand die er echte spaargelden op laadt.

"Als deze sleutel is blootgesteld, kan een aanvaller deze gebruiken om namaakapparaten te produceren die authenticatiecontroles doorstaan", aldus Keystone in zijn verklaring. "Deze apparaten kunnen vervolgens worden verkocht of verzonden naar klanten, die ze onbewust als echte producten kunnen gebruiken, wat tot diefstal van activa kan leiden."

Keystone noemt de gecompromitteerde toegangscode een WebAuth-sleutel: een geheime code die bij elke apparaat in de fabriek wordt ingebouwd, zodat een pagina op de website van het bedrijf kan bevestigen dat de hardware echt is. De sleutel kan niet worden gewist of herschreven, en daarom worden de 18.835 apparaten in voorraad die deze dragen vernietigd in plaats van verkocht — en moeten toekomstige apparaten rond een nieuwe sleutel worden gebouwd.

Keystone meldde zaterdag voor het eerst dat een derde partij verzendgegevens van klanten had verkregen. De verklaring van maandag voegde daar de gestolen sleutel en het aantal van 25.964 getroffen kopersgegevens aan toe, maar vermeldt niet wie verantwoordelijk is of wanneer de aanvaller voor het eerst toegang kreeg.

Het incident trof gegevens uit de Shopify-winkel van Keystone, het e-commerceplatform dat de online verkoop verzorgde. Keystone zegt dat in totaal 51.083 kopersgegevens betrokken waren, maar 25.119 daarvan waren al van persoonlijke informatie ontdaan, waardoor 25.964 gegevens uit 2024 tot 2026 overbleven die nog namen, contactgegevens, verzendadressen en orderinformatie bevatten. Aankopen via Amazon en andere kanalen zijn niet getroffen.

Een deel van die gegevens had al verwijderd moeten zijn, wat betekent dat een deel van wat het lek blootlegde bestond uit gegevens waarvan Keystone zich had toegezegd deze te wissen. Het beleid van het bedrijf was om kopersgegevens na 180 dagen te wissen, maar de geautomatiseerde bulkwisstool die het daarvoor had gebouwd, werkte niet betrouwbaar.

"Sommige wistaken zijn mislukt en we hebben deze fouten niet tijdig opgespoord en verholpen, waardoor bepaalde persoonlijke informatie langer dan toegestaan is bewaard", aldus Keystone. "We zijn onze toezegging om klantgegevens op tijd te wissen niet nagekomen en wij aanvaarden de verantwoordelijkheid voor deze fout."

Klantenlijsten vormen een terugkerend zwakke punt voor fabrikanten van hardware wallets. De lek bij Ledger in 2020 bereikte uiteindelijk ongeveer 292.000 klanten, en degenen die daarna phishing-e-mails ontvingen maakten zich zorgen dat ze doelwit zouden kunnen worden van thuisovervallen. Trezor en SafePal maakten in augustus elk een datalek met klantgegevens bekend, met respectievelijk 13.689 en circa 39.798 getroffen klanten.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Namen en adressen zijn van belang vanwege zogenaamde wrench-aanvallen, waarbij criminelen met dreigementen of fysiek geweld eigenaren dwingen hun crypto af te geven. Chainalysis telde 46 gewelddadige aanvallen in de eerste helft van 2026, met meer dan $30 miljoen buit.

De fabrikant waarschuwde ook voor oplichters die "activamigratie", "walletverificatie" of "ondersteuning bij onderzoek" aanbieden.

"Wij zullen u nooit vragen uw apparaat terug te sturen", aldus het bedrijf. "Iedereen die contact met u opneemt onder het voorwendsel van een 'terugroepactie' en u vraagt uw apparaat op te sturen, moet als oplichter worden beschouwd."

De verkoop op de website van Keystone gaat over op voorbestellingen totdat de productie van apparaten met een nieuwe sleutel is afgerond, en het bedrijf zegt rapporten te hebben ingediend bij autoriteiten in de EU, het VK en andere rechtsgebieden.

Keystone heeft de bewaartermijn voor klantgegevens verkort van 180 naar 90 dagen en Shopify op 24 oktober verzocht alle achterstallige kopersgegevens te wissen, een proces met een wachttijd van 10 dagen. Het bedrijf verwacht dat de verwijdering op 3 november is afgerond, waardoor getroffen klanten een concrete datum hebben om rekening mee te houden.