Hardwarewalletfabrikant Keystone heeft bijna 19.000 apparaten uit zijn verkoopbare voorraad gehaald en alle onafgehandelde bestellingen via de website opgeschort, nadat een aanvaller de cryptografische sleutel verkreeg waarmee het bedrijf verifieert of een Keystone-wallet echt is. De diefstal roept de mogelijkheid op dat namaakhardware de eigen authenticiteitscontrole van Keystone kan passeren.

In een verklaring op X zei het bedrijf dat de aanvaller de WebAuth-sleutel verkreeg die de apparaatverificatiepagina aandrijft — het mechanisme waarmee kopers bevestigen dat een wallet rechtstreeks van de fabrikant is verzonden. Met die sleutel in externe handen zou een geavanceerde aanvaller er in theorie een nepapparaat legitiem mee kunnen laten lijken voor iedereen die het standaardverificatieproces uitvoert.

Keystone vernietigt voorraad en bevriest verzendingen

In plaats van voorraad te verzenden die niet meer betrouwbaar kon worden geverifieerd, zal Keystone volgens eigen zeggen 18.835 apparaten uit voorraad met de oude WebAuth-sleutel vernietigen en geen enkele niet-verzonden websitebestelling aan klanten verkopen of doorsturen.

Het schrappen van bijna 19.000 eenheden is een ongebruikelijke stap voor een hardwarewalletbedrijf en laat zien hoe serieus Keystone het authenticatiegat neemt. Het bedrijf benadrukte dat de WebAuth-sleutel niet wordt gebruikt voor het genereren van herstelzinnen, het afleiden van privésleutels of het ondertekenen van transacties, wat betekent dat wallets die al in handen van gebruikers zijn functioneel veilig blijven voor het beheren van crypto-activa.

Keystone bevestigde ook dat apparaten die vóór 20 oktober zijn geleverd niet zijn getroffen, aldus Decrypt. Het bedrijf zei incidentrapporten te hebben ingediend in de EU, het VK en andere rechtsgebieden, al zijn dit door het bedrijf zelf gestarte meldingen en geen bevindingen of handhavingsacties van een toezichthouder. Voorlopig zijn de meldingen die bekend zijn afkomstig van Keystone zelf; een afzonderlijke beoordeling door die autoriteiten zou een nieuwe ontwikkeling zijn om in de gaten te houden.

Ook klantgegevens betrokken bij het incident

Naast het apparaatverificatieprobleem legde het incident ook persoonlijke informatie bloot die gekoppeld is aan de bestelgeschiedenis van Keystone. Decrypt meldde dat 25.964 kopersrecords persoonlijke gegevens bevatten van aankopen tussen 2024 en 2026.

Unchained meldde een breder cijfer: in totaal waren 51.083 Shopify-kopersrecords betrokken, hoewel 25.119 daarvan al van persoonlijke gegevens waren ontdaan. De cijfers van de twee media rekenen rekenkundig op: 51.083 minus de 25.119 gewiste gegevens laat 25.964 over — exact het aantal dat Decrypt noemde als nog persoonlijke gegevens bevattende. Daarnaast bevatten 12.873 niet-betaalde checkoutrecords namen, contactgegevens en verzendgegevens.

De datalek voegt een aparte privacyzorg toe aan het apparaatauthenticatieprobleem, vooral omdat klanten van hardwarewallets vaak identificeerbaar zijn als houders van cryptocurrency.

Waarom een gestolen authenticatiesleutel ertoe doet voor namaakrisico

Hardware wallets vervullen een specifieke vertrouwensrol in het crypto-ecosysteem: het zijn naar bedoeling manipulatiebestendige, air-gapped apparaten die privésleutels nooit blootstellen aan een computer met internetverbinding. Die belofte hangt mede af van de mogelijkheid van kopers om te bevestigen dat ze echte hardware hebben ontvangen en geen apparaat dat onderweg is onderschept of verwisseld.

De WebAuth-sleutel op de authenticatiepagina van Keystone was precies het mechanisme dat bedoeld was om dat supply-chainrisico aan te pakken. Als een aanvaller de sleutel in handen heeft, kan elk nepapparaat dat hij produceert een geldig ogend verificatieresultaat genereren, waardoor een koper geen betrouwbare manier heeft om via de standaardcontrole een echt apparaat van een nep te onderscheiden. De reactie van Keystone — het vervangen van de sleutel en het vernietigen van oude voorraad — is consistent met het beschouwen van dat verificatiepad als gecompromitteerd in plaats van ter plaatse repareerbaar.

Vermeldenswaard is dat er in de publieke berichtgeving over het incident geen bevestigd namaakapparaat van Keystone is opgedoken. De openbaarmakingen van het bedrijf beschrijven het risico dat door de gestolen sleutel is ontstaan, niet bewijs dat nepapparaten al bij kopers zijn aangekomen.

Wat Keystone-walletgebruikers nu moeten doen

Voor gebruikers die al een Keystone-apparaat bezitten, is de verklaring van het bedrijf dat de WebAuth-sleutel geen rol speelt bij het genereren van herstelzinnen, het afleiden van privésleutels of het ondertekenen van transacties de meest relevante informatie. Bestaande wallets in handen van legitieme gebruikers zijn niet direct gecompromitteerd door de diefstal van de authenticatiesleutel, en correct opgeslagen seed phrases blijven beschermd. Voor productspecifieke begeleiding is het verstandig om Keystone rechtstreeks via officiële kanalen te volgen in plaats van te vertrouwen op samenvattingen van derden.

Voor kopers die webbestellingen hebben geplaatst die nog niet zijn verzonden, zei Keystone dat die bestellingen worden opgeschort. Het bedrijf heeft nog geen vervangings- of herverzendtijdlijn publiek gemaakt, dus getroffen klanten moeten de officiële communicatie van Keystone volgen voor updates. Wie overweegt een Keystone-apparaat te kopen op de secundaire markt of via een reseller, moet bijzonder voorzichtig zijn totdat het bedrijf nieuwe apparaten met een nieuwe authenticatiesleutel uitbrengt, omdat apparaten met de oude sleutel in secundaire omloop niet via de vorige authenticatiepagina geverifieerd kunnen worden.

Het incident herinnert eraan dat supply-chainauthenticatie een actief aanvalsoppervlak is voor fabrikanten van hardware wallets, vooral nu de waarde van activa in self-custody groeit. Het bredere marktsentiment voor crypto staat op Neutraal (48) op de Fear and Greed Index, en Bitcoin handelt rond $80.646 — indicatoren van hoe omvangrijk de groep self-custody-gebruikers met substantiële bezittingen is geworden, en hoe direct financieel de inzet van een gecompromitteerd apparaat kan zijn.

De kernvraag voor Keystone is nu hoe snel het apparaten kan heruitgeven met een nieuwe, ongecompromitteerde WebAuth-sleutel en kopers een betrouwbaar vervangend verificatiepad kan bieden. Totdat dat proces is afgerond en onafhankelijk verifieerbaar is, blijft de authenticiteitscontrole die het bedrijf bouwde om klanten tegen nephardware te beschermen onbeschikbaar.

Disclaimer: Dit artikel is uitsluitend voor informatieve doeleinden en vormt geen financieel of beleggingsadvies. Crypto- en digitale-activamarkten brengen aanzienlijke risico's met zich mee. Doe altijd eigen onderzoek voordat u beslissingen neemt.