Keystone vernichtet 18.835 Wallets nach Sicherheitsleck

Keystone wird 18.835 unverkaufte Hardware-Wallets vernichten und den Versand aussetzen, nachdem bei einem Website-Angriff am 20. Oktober ein für die Geräteauthentifizierung verwendeter Produktionsschlüssel offengelegt wurde. Der Angriff legte außerdem 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 offen, darunter Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Weitere 12.873 unbezahlte Checkout-Datensätze könnten betroffen sein.

Warum das wichtig ist

Der gestohlene Schlüssel wird während der Produktion in die Geräte integriert und kann nicht geändert werden. Er könnte es gefälschten Wallets ermöglichen, Keystones Online-Echtheitsprüfungen zu bestehen, und damit ein Risiko für die Lieferkette schaffen. Das Unternehmen erklärte jedoch, dass Wiederherstellungsphrasen, private Schlüssel und Wallet-Zugangsdaten nicht offengelegt wurden.

Keystone zufolge gelang der Angriff durch eine Schwachstelle in einem Datenüberwachungstool eines Drittanbieters. Der Vorfall zeigte außerdem, dass einige Kundendatensätze nach Ablauf der unternehmenseigenen Löschfrist von 180 Tagen noch vorhanden waren, weil ein automatisiertes Löschtool unbemerkt ausgefallen war. Keystone übernahm die Verantwortung und erklärte, die Aufbewahrungsdauer auf 90 Tage zu verkürzen.

Die Offenlegung folgt auf separate Vorfälle bei anderen Hardware-Wallet-Anbietern. Foundation meldete mehr als 23.000 Phishing-Versuche sowie Datenbankkopien mit Tausenden Post- und Telefonnummern. Ledger-Nutzer in Südostasien erhielten Geräte mit versteckten Komponenten, die Wiederherstellungsphrasen erfassten, während eine Schwachstelle bei der Seed-Erzeugung von Coldcard die Rekonstruktion privater Schlüssel ermöglichte.

Auswirkungen auf den Markt

Keystone erklärte, dass vor dem 20. Oktober ausgelieferte Geräte weiterhin sicher verwendet werden können, sofern sie die Authentifizierung bestehen. Kunden, die danach Geräte mit dem alten Schlüssel erhalten haben, sollten zusätzliche Prüfungen durchführen. Das Unternehmen betonte, dass Nutzer allein wegen dieser Sicherheitsverletzung ihre Gelder nicht verschieben müssen, und warnte vor gefälschten Rückruf- oder Nachrichten zur Vermögensübertragung.

Keystone plant, den Authentifizierungsschlüssel in neuen Geräten zu ersetzen und den Verkauf über die Website auf Vorbestellungen umzustellen. Die breitere Folge ist ein höherer Sicherheits- und Vertrauensaufwand für Hersteller von Hardware-Wallets, insbesondere bei der Herkunft von Geräten, der Speicherung von Daten und phishing-resistenter Kundenkommunikation.