Beim Hardware-Wallet-Hersteller Keystone haben Angreifer Kundendaten aus knapp 26.000 Bestellungen erbeutet. Schwerer wiegt der Diebstahl des WebAuth Keys, auf dem der Genuine Check des Herstellers beruht. Keystone vernichtet daraufhin fast 19.000 Geräte.
Ungewöhnliche Zugriffe auf die offizielle Website fielen den Sicherheitssystemen von Keystone am 20. Oktober 2026 auf. Der Angreifer hatte eine Schwachstelle in einem Datenmonitoring-Tool eines Drittanbieters ausgenutzt und sich so erweiterte Rechte verschafft. Am 24. Oktober bestätigte Keystone zunächst den Abfluss von Versanddaten. Zwei Tage später gab man bekannt, dass auch der WebAuth Key für die Echtheitsprüfung der Geräte in fremde Hände gelangt ist.
Welche Daten beim Keystone Hack abgeflossen sind
Der Vorfall betrifft ausschließlich Käufe über den Shopify-Store der Keystone-Website. Bestellungen über Amazon und andere Vertriebskanäle sind nicht betroffen. Personenbezogene Daten enthielten noch 25.964 Kaufdatensätze aus den Jahren 2024 bis 2026, darunter Namen, Kontaktdaten, Lieferadressen sowie gekaufte Produkte und Preise. Hinzu kommen 12.873 Datensätze aus abgebrochenen Bestellvorgängen. Seed Phrases, Private Keys, Zahlungsdaten und Ausweisnummern waren laut Keystone nicht betroffen.
Ein Teil der Daten hätte gar nicht mehr existieren dürfen. Keystone hatte zugesagt, Kundendaten nach 180 Tagen zu löschen. Ein selbst entwickeltes Werkzeug für die Massenlöschung arbeitete jedoch fehlerhaft, ohne dass dies rechtzeitig auffiel. Die überfälligen Daten sollen nun bis zum 3. November gelöscht sein, die Speicherfrist sinkt künftig auf 90 Tage.
Warum der gestohlene WebAuth Key so schwer wiegt
Keystone schreibt den WebAuth Key bei der Produktion fest in jedes Gerät, nachträglich lässt er sich weder löschen noch ersetzen. Beim Genuine Check auf der Herstellerseite weist sich das Gerät mit diesem Schlüssel als echt aus. Wer den Schlüssel besitzt, kann gefälschte Geräte bauen, die diese Prüfung bestehen. Keystone selbst warnt, dass solche Fälschungen in Umlauf geraten und zum Diebstahl von Assets führen könnten.
Der Hersteller zieht deshalb harte Konsequenzen. 18.835 Geräte mit dem alten Schlüssel aus dem Lager werden vernichtet, der Versand offener Bestellungen über die Website ruht. Bis Geräte mit neuem Schlüssel produziert sind, verkauft Keystone nur noch per Vorbestellung.
Starkes Sicherheitsmodell, gravierende Fehler im Betrieb
Bitter ist der Vorfall, weil die Hardware selbst konzeptionell überzeugt. Das Keystone 3 Pro arbeitet air-gapped, kommuniziert ausschließlich per QR-Code und setzt auf mehrere Secure-Element-Chips sowie eine Open-Source-Firmware. Details dazu liefert unser Test des Keystone 3 Pro. Diese Architektur bleibt vom Hack unberührt, Seeds und Private Keys verlassen die Geräte nicht.
Versagt hat Keystone an anderer Stelle. Ein Schlüssel, auf dem das Vertrauen in die gesamte Lieferkette ruht, gehört nicht in die Reichweite eines Webshops. Dass eine Lücke in einem Drittanbieter-Tool genügte, um ihn zu erbeuten, spricht nach unserer Einschätzung für eine unzureichende Trennung kritischer Systeme. Zusammen mit der gescheiterten Datenlöschung entsteht ein Bild, das nicht zu einem Sicherheitsprodukt passt. Keystone räumt diese Versäumnisse im eigenen Statement offen ein.
Parallelen zum Ledger-Leak vom Juni 2020 liegen nahe. Damals kursierten über eine Million E-Mail-Adressen sowie Kontaktdaten und Wohnanschriften, die über Jahre für Phishing-Kampagnen genutzt wurden.
Was Besitzer eines Keystone Wallets jetzt beachten sollten
Maßgeblich ist das Lieferdatum. Geräte, die vor dem 20. Oktober 2026 ausgeliefert wurden und den Genuine Check bestehen, gelten laut Keystone als echt und können normal weiter genutzt werden. Bei Geräten mit altem Schlüssel, die nach diesem Datum eingetroffen sind, kann der Hersteller eine Fälschung auch bei bestandenem Check nicht ausschließen. Betroffene sollten solche Geräte vorerst nicht nutzen und über support@keyst.one eine zusätzliche Prüfung anfordern.
Das größere Alltagsrisiko dürfte Phishing sein. Mit Namen, Adresse und Bestelldaten lassen sich sehr glaubwürdige Nachrichten verfassen. Keystone warnt ausdrücklich vor Anrufen und Nachrichten zu angeblicher Asset-Migration, Wallet-Verifizierung oder Ermittlungshilfe. Eine Seed Phrase gehört grundsätzlich weder auf eine Website noch ans Telefon noch auf ein zugeschicktes Ersatzgerät. Auch angebliche Rückrufaktionen sind ein Warnsignal, denn Keystone fordert keine Geräte zurück.
Einen Umzug der Coins hält der Hersteller allein wegen des Vorfalls nicht für notwendig, da keine Wallet-Zugangsdaten betroffen sind. Die offizielle Website sollte stets manuell im Browser aufgerufen werden, nicht über Links aus E-Mails oder Nachrichten.
Keystone will Betroffene per E-Mail informieren und eine Seite starten, auf der sich prüfen lässt, ob die eigenen Daten betroffen sind. Zudem kündigt der Hersteller ein Sicherheitsaudit sowie strengere Zugriffskontrollen und ein besseres Key Management an. Meldungen an Behörden in der EU und Großbritannien sind laut Keystone bereits erfolgt. Wann der Versand wieder anläuft, ist offen. Für die Branche ist der Fall eine weitere Erinnerung daran, dass die Sicherheit eines Wallets nicht beim Gerät endet.
