TheBlock
Der Hardware-Wallet-Hersteller Keystone hat bestätigt, dass ein Dritter Kundendaten zum Versand aus seinem mit Shopify betriebenen Online-Shop erlangt hat. Das Unternehmen entdeckte am 20. Oktober unbefugten Zugriff auf seine offizielle Website und verifizierte drei Tage später über API-Aktivitäten mit Shopify, dass ein unbekannter Angreifer Namen, Kontaktdaten, Versandadressen und Bestellinformationen einschließlich gekaufter Artikel und deren Preise abgezogen hatte. Laut Keystone wurden Zahlungskarten, Bankdaten, Seed-Phrases, private Schlüssel und Wallet-Passwörter nicht offengelegt.
Warum das wichtig ist
Der Angriff trifft direkt Keystones Kernmarketing. Das Unternehmen bewarb wiederholt eine 180-Tage-Löschrichtlinie als Verkaufsargument und teilte im Januar auf X, am selben Tag, an dem Ledger-Kunden von einem Leak beim E-Commerce-Partner jener Firma erfuhren, mit, dass Versanddaten 180 Tage nach einer Bestellung "dauerhaft gelöscht" werden. Doch Kunden sagen nun, dass ältere Daten weiterhin betroffen waren: Ein Nutzer meldete eine Benachrichtigung über die Datenschutzverletzung für eine Bestellung, die vor über zwei Jahren aufgegeben wurde, und ein anderer sagt, dass ein Social Engineer mit Details zu einer Bestellung aus dem Jahr 2024 ihn anrief und dabei eine Nummer der Polizei von Montreal vortäuschte, Tage bevor Keystone den Vorfall offenlegte. Die eigene Hilfeseite des Unternehmens vermerkt, dass Angaben zu Stadt und Land niemals gelöscht werden und die Löschung von Shopify übernommen wird.
Der Vorfall fällt zudem in eine brutale Phase für Hardware-Wallet-Anbieter. Trezor meldete eine ShipMonk-Datenpanne, die rund 81.000 Kunden trifft, SafePal legte durch einen Fehler in der Sendungsverfolgung fast 40.000 offen, und Ledger bestätigte über Wiederverkäufer verkaufte Geräte, die manipuliert wurden, um Seed-Phrases abzugreifen, wobei die Onchain-Verluste auf über 86 Millionen Dollar geschätzt werden.
Marktauswirkungen
Das unmittelbare Risiko ist Phishing, nicht der Diebstahl von Schlüsseln. Keystone warnt, dass Betrüger sich per Telefon, SMS, E-Mail oder Post als das Unternehmen ausgeben und Rückerstattungen oder Ersatzgeräte anbieten könnten, und appelliert an Kunden, niemals eine Seed-Phrase in ein Gerät einzugeben, das sie nicht selbst bestellt haben. Das Unternehmen hat nicht gesagt, wie viele Kunden betroffen sind oder wie der Angreifer eindrang; ein detaillierter Bericht wird in den kommenden Tagen erwartet.
Häufig gestellte Fragen
-
Welche Kundendaten wurden im Keystone-Datenleck offengelegt?
Ein unbekannter Dritter erlangte Namen, Kontaktdaten, Versandadressen und Bestelldaten einschließlich gekaufter Artikel und deren Preise aus Keystones mit Shopify betriebenem Online-Shop. Laut Keystone wurden Zahlungskarten, Bankdaten, Seed-Phrases, private Schlüssel und Wallet-Passwörter nicht offengelegt.
-
Hat Keystone seine 180-Tage-Löschrichtlinie verletzt?
Mehrere Kunden sagen, dass Daten von Bestellungen älter als 180 Tage offengelegt wurden, darunter eine Bestellung von vor über zwei Jahren. Die Hilfeseite von Keystone vermerkt, dass Angaben zu Stadt und Land niemals gelöscht werden und die Löschung von Shopify übernommen wird. Das Unternehmen hat nicht öffentlich…
-
Wie erlangte der Angreifer Zugriff auf Keystones Shop?
Keystone entdeckte am 20. Oktober unbefugten Zugriff auf seine Website und bestätigte den Datendiebstahl am 23. Oktober nach Prüfung der API-Aktivitäten mit Shopify. Das Unternehmen hat nicht gesagt, wie der Angreifer eindrang oder ob dieser identifiziert wurde.
-
Ist Keystone der einzige Hardware-Wallet-Hersteller, der in diesem Jahr von einem Datenleck getroffen wurde?
Nein. Trezor meldete ein Datenleck beim Versandpartner ShipMonk mit rund 81.000 betroffenen Kunden, SafePal legte durch einen Fehler in der Sendungsverfolgung fast 40.000 Kunden offen, und Ledger bestätigte über Wiederverkäufer verkaufte, manipulierte Geräte, die Seed-Phrases abgreifen sollten, mit Verlusten von…
-
Wie können sich Keystone-Kunden nach dem Datenleck vor Betrug schützen?
Keystone warnt, dass Betrüger sich per Telefon, SMS, E-Mail oder Post als das Unternehmen ausgeben und Rückerstattungen, Ersatzgeräte oder Lösungen anbieten könnten. Kunden sollten niemals eine Seed-Phrase in ein Gerät eingeben, das sie nicht bestellt haben, und keinen Links in Nachrichten folgen, die angeblich von…
CryptoSlate
CoinTelegraph
WatcherGuru
WuBlockchain
CoinDesk
Altcoin Daily
Crypto News