Keystone Hardware Wallet heeft bevestigd dat ongeautoriseerde toegang tot zijn officiële website klantnamen, e-mailadressen, telefoonnummers, verzendadressen en aankoopgegevens heeft blootgesteld. De inbraak werd op 20 oktober 2026 ontdekt en drie dagen later, op 23 oktober, bevestigd na onderzoek van Shopify application programming interface-activiteit, volgens een openbaarmaking van 24 oktober door de fabrikant van hardware wallets.

In de openbaarmaking zei het bedrijf dat een ongeautoriseerde derde partij orderinformatie had verkregen. Keystone blokkeerde de toegang, verholpen de geïdentificeerde kwetsbaarheid en startte een onderzoek. Het bedrijf heeft de aanvaller niet geïdentificeerd en het aantal getroffen klanten is niet bekendgemaakt. Bij de aankondiging werd geen overzicht gecompromitteerde transacties verstrekt.

Wu Blockchain, een nieuwsaccount uit de crypto-industrie, deelde de openbaarmaking op X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Ordergegevens blootgesteld, portemonneecredentials onaangetast

Het incident legde gegevens bloot die gekoppeld zijn aan aankopen van crypto-opslagapparaten, in plaats van informatie die in de wallets zelf staat opgeslagen. De gecompromitteerde gegevens vermeldden de producten die klanten kochten en de prijzen die zij betaalden, samen met hun identiteiten en bezorglocaties. De getroffen informatie verbond dus apparaataankopen met identificeerbare klanten, maar er werd geen compromittering van portemonneecredentials gemeld.

Omdat hardware wallets fysieke goederen zijn die verzonden moeten worden, bewaren hun fabrikanten dezelfde categorie detailhandelsgegevens als elke e-commercemedchant — een structureel kenmerk van de markt dat klantidentiteitsgegevens in winkelsystemen plaatst, ongeacht hoe veilig de apparaten zelf werken.

Keystone zei dat creditcardnummers, bankgegevens, portemonneewachtwoorden, privésleutels en herstelzinnen niet werden blootgesteld. De wallets voeren transactieondertekening offline uit en communiceren via QR-code in plaats van via directe verbindingen met apparaten die op internet zijn aangesloten.

Shopify-infrastructuur laat vragen open

Shopify exploiteert de webwinkel van de fabrikant en verwerkt de orderinformatie, vol het privacybeleid van het bedrijf. Dat beleid stelt ook dat gegevens na 180 dagen worden verwijderd wanneer een klant geen nieuwe bestelling heeft geplaatst. De verwijderingsbepaling identificeert niet welke historische aankopen in dit lek waren opgenomen, en de openbaarmaking specificeerde de getroffen aankoopdata niet.

De openbaarmaking bracht ook niet aan het licht hoe lang ongeautoriseerde toegang mogelijk bleef. Onderzoekers hebben de inbraak niet publiekelijk toegeschreven of de precieze methode uitgelegd waarmee de website werd binnengedrongen. Getroffen klanten werden per e-mail op de hoogte gesteld, en het bedrijf zei dat een vollediger incidentrapport zou volgen, al werd geen publicatiedatum verstrekt.

Phishingwaarschuwingen aan klanten

Ondanks de verzekeringen rondom de portemonneeveiligheid waarschuwde Keystone klanten om te letten op frauduleuze terugbetalingsaanbiedingen, vervangingsapparaatspoken en berichten die beweren orderhulp te bieden. Dergelijke benaderingen kunnen via e-mail, telefoontjes of sms-berichten verschijnen. Elk ervan betreft claims over de bestelling of het apparaat van een klant — de categorieën informatie in de blootgestelde gegevens. Klanten werd geadviseerd geen herstelzinnen of privésleutels te delen, geen herstelzinnen in onverwachte vervangingsapparaten in te voeren en geen verdachte links te volgen. Het bedrijf drong er bij klanten op aan alle communicatie via zijn officiële kanalen te verifiëren.

Onderdeel van een breder patroon voor hardware wallet-verkopers

Het datalek voegt zich bij een reeks klantdataincidenten bij verkopers van hardware wallets. In augustus onthulde Trezor een lek bij zijn verzendpartner ShipMonk, waarbij later ongeveer 67.000 extra getroffen Amerikaanse klanten werden geïdentificeerd. SafePal onthulde ook een autorisatiefout in orderopvolging die 39.798 klanten trof, waarbij persoonlijke en aankoopgegevens werden blootgesteld zonder directe compromittering van portemonneecredentials.

Samen genomen beslaan deze incidenten verschillende lagen van de detailhandelsketen — een winkelplatform voor Keystone, een verzendpartner voor Trezor en een orderopvolgingsfunctie voor SafePal. In al deze incidenten bevonden de blootgestelde informatie zich in bestel- of fulfillment-systemen in plaats van in ondertekeningsmechanismen van wallets. Keystone heeft het aantal getroffen klanten, de onderliggende toegangsmethode of de blootstellingsperiode nog niet publiekelijk bekendgemaakt. Het beloofde vollediger incidentrapport, waarvoor geen datum is gegeven, is de aangekondigde weg naar die antwoorden.