Hardware wallet-fabrikant Keystone heeft gebruikers opgeroepen de Nexus-app bij te werken naar versie 1.3.7 nadat een cyberaanval een deel van de diensten van de applicatie heeft verstoord. Aangekondigd op vrijdag 6 november, is dit de derde securityonthulling die het bedrijf in ongeveer twee weken uitbrengt, na een datalek van klantgegevens in zijn online winkel en de diefstal van een sleutel die wordt gebruikt om de echtheid van zijn apparaten te verifiëren.

De aanval op de Nexus-app en de v1.3.7-fix

In een bericht op X zei Keystone dat een deel van de Nexus App-diensten was gecompromitteerd door een cyberaanval en dat een aantal gebruikers de app enige tijd niet kon gebruiken. Het bedrijf zei dat het team op het incident had gereageerd en de serverbeveiliging had versterkt. De aankondiging van Keystone ging niet in op welke diensten zijn getroffen of wie de aanval heeft uitgevoerd.

Na een onderzoek schreef Keystone dat het "geen aanwijzingen heeft gevonden dat gebruikersactiva of persoonlijke gegevens zijn getroffen." Het bedrijf verontschuldigde zich voor de onderbreking en verzocht gebruikers de app bij te werken naar v1.3.7. Het adviseerde gebruikers ook te controleren of elke app die ze downloaden "Yanssie HK Limited" als developer vermeldt, met de toevoeging dat een app zonder die developer niet van Keystone afkomstig is.

Een datalek in de winkel waarbij 25.964 kopersgegevens werden blootgesteld

De eerste onthulling betrof een indringer die toegang kreeg tot de online winkel van Keystone, draaiend op Shopify. Volgens eerder bericht van Cryptopolitan werd ongeautoriseerde toegang op 20 oktober ontdekt, en bevestigde het bedrijf op 23 oktober dat een derde partij klantverzendgegevens had opgehaald, waarvan het de dag erna publiek melding maakte.

De gestolen gegevens bevatten namen, contactgegevens, verzendadressen en orderinformatie, waaronder welke apparaten kopers hadden aangeschaft. Het bedrijf zei dat betaalkaarten, bankgegevens, herstelzinnen en privésleutels niet zijn blootgesteld.

Er werd gemeld dat 25.964 kopersgegevens van aankopen uit de periode 2024 tot 2026 tot de gestolen data behoorden. Keystone telde daarnaast voorzorgshalve 12.873 niet-afgeronde checkout-gegevens.

Omdat thuisadressen deel uitmaakten van het lek, wees securityonderzoeker Taylor Monahan erop dat dit houders het risico op "wrench attacks" kan geven — fysieke dreigingen om eigenaren te dwingen hun crypto af te staan. Het crypto-securityplatform Certik registreerde 52 van dergelijke aanvallen in de eerste helft van 2026, tegenover 39 incidenten in het voorgaande jaar.

18.835 wallets gaan richting vernietiging

Enkele dagen na de onthulling van de diefstal van gebruikersgegevens kwam Keystone opnieuw in het nieuws, met de mededeling dat dezelfde aanvaller die verantwoordelijk was voor de eerste aanval ook de WebAuth-sleutel had gestolen die zijn apparaten gebruiken om hun echtheid aan te tonen. De aanvaller zou naar verluidt een zwakke plek in een monitoringtool van een derde partij op de website hebben uitgebuit om privileges te verkrijgen, en nam vervolgens zowel klantgegevens als de sleutel mee.

Het probleem is aanzienlijk omdat de sleutel tijdens de productie in elk apparaat wordt gebrand en niet herschreven kan worden. Iemand met de sleutel zou een nepapparaat kunnen bouwen dat de echtheidscontrole van Keystone zelf doorstaat. Als reactie daarop besloot Keystone alle 18.835 onverkochte apparaten met de gecompromitteerde sleutel te schrappen.

Het bedrijf zei dat een wallet die vóór 20 oktober is geleverd en de controle doorstaat, echt is. Voor apparaten met de oude sleutel die na die datum zijn ontvangen, kan het "de mogelijkheid dat het een vervalsing is niet volledig uitsluiten", en het verzocht die eigenaren vóór gebruik contact op te nemen met de support. Het heeft tot nu toe geen gerapporteerde nepapparaten of diefstallen.

Bewaartermijn teruggebracht naar 90 dagen nadat een verwijderingstool faalde

Keystone had geadverteerd dat het verzendgegevens 180 dagen na een bestelling wist, maar klanten meldden dat ze meldingen over het datalek ontvingen voor aankopen van meer dan twee jaar oud, zoals Cryptopolitan berichtte. De geautomatiseerde wistool van het bedrijf was mislukt, waardoor de oude gegevens bleven staan.

Keystone bracht de bewaartermijn vervolgens terug naar 90 dagen en verzocht Shopify persoonlijke gegevens die ouder zijn te verwijderen, waarbij de achterstallige gegevens naar verwachting vóór 3 november verdwenen zouden zijn. Concurrent OneKey begrensde na het Keystone-incident ook zijn eigen bewaartermijn op 30 dagen.

Cryptoprojecten hebben in 2026 een moeilijke periode van cyberaanvallen doorgemaakt, en aanbieders van hardware wallets zijn niet gespaard. In augustus trof een datalek bij ShipMonk, een van Trezors logistieke partners, ongeveer 81.000 klanten. SafePal stelde ongeveer 39.798 gebruikers bloot via een fout in de ordertracking, en Ledger vond verborgen chips in doorverkochte apparaten die on-chain onderzoekers verbonden aan verliezen van meer dan $86 miljoen. De reeks onthullingen van Keystone in twee weken weerspiegelt die breedte, met incidenten die de winkel, de website-tooling, de voorraad onverkochte apparaten en de app-diensten raken.