Keystone zieht Geräte zurück: Gestohlener Schlüssel öffnet Fälschungen Tür und Tor

Keystone, ein Hersteller von Bitcoin-Hardware-Wallets, die die geheimen Codes, mit denen Ihr Krypto offline kontrolliert wird, offline halten, erklärte am Montag, dass es 18.835 unverkaufte Geräte zerstören wird, nachdem Angreifer den Schlüssel erlangt haben, der die Echtheit seiner Hardware bestätigt. Das Unternehmen hat außerdem den Versand aller noch nicht versandten Bestellungen von seiner Website ausgesetzt.

Für Käufer besteht das Risiko in einer gefälschten Wallet, die wie neu aussieht und Keystones eigene Verifizierungsprüfung besteht, weil der Angreifer den Schlüssel erlangt hat, auf dem die Prüfung beruht. Ein Krimineller könnte ein solches Gerät dann an jemanden verkaufen, der echte Ersparnisse darauf lädt.

„Wenn er offengelegt wird, könnte ein Angreifer ihn nutzen, um gefälschte Geräte herzustellen, die die Authentifizierungsprüfungen bestehen“, sagte Keystone in seiner Erklärung. „Diese Geräte könnten dann an Kunden verkauft oder versandt werden, die sie möglicherweise unwissentlich als echte Produkte verwenden, was potenziell zu Vermögensdiebstahl führen könnte.“

Keystone nennt ihn einen WebAuth-Schlüssel, einen geheimen Code, der im Werk in jedes Gerät geschrieben wird, damit eine Seite auf der Website des Unternehmens bestätigen kann, dass die Hardware echt ist. Er kann nicht gelöscht oder neu geschrieben werden, und die 18.835 Einheiten im Lager, die ihn tragen, werden zerstört statt verkauft.

Keystone erklärte am Samstag erstmals, dass ein Dritter Versandinformationen von Kunden erlangt habe. Die Erklärung vom Montag ergänzte den gestohlenen Schlüssel und eine Zahl von 25.964 betroffenen Käuferdatensätzen, nennt aber nicht, wer verantwortlich ist oder wann der Angreifer erstmals eingedrungen ist.

Der Vorfall betraf Datensätze aus Keystones Shopify-Shop, der E-Commerce-Plattform, die seinen Online-Verkauf abwickelte. Keystone gibt an, dass 51.083 Käuferdatensätze betroffen waren, aber bei 25.119 waren die persönlichen Informationen bereits gelöscht worden, sodass 25.964 aus den Jahren 2024 bis 2026 verblieben, die noch Namen, Kontaktdaten, Versandadressen und Bestellinformationen enthielten. Käufe über Amazon und andere Kanäle waren nicht betroffen.

BitcoinBTC · USD

$80,605−2.34%

20. Okt.22. Okt.24. Okt.26. Okt.27. Okt.

$84,8k$83,1k$81,3k$79,6k

24h HochHoch$80.573

24h TiefTief$79.416

VolVol$1,0 Mrd.

→

Bitcoin mit USDT kaufen

Bereitgestellt von Jupiter

Preisdaten von CoinGeckoCoinGeckoWeitere Bitcoin-Nachrichten und Prognosen →

Ein Teil dieser Daten hätte bereits gelöscht sein müssen. Die Richtlinie von Keystone sah vor, Käuferdaten nach 180 Tagen zu löschen, und das automatisierte Massenlöschungstool, das dafür entwickelt wurde, funktionierte nicht zuverlässig.

„Einige Löschaufgaben sind fehlgeschlagen, und wir haben diese Fehler nicht rechtzeitig erkannt und behoben, wodurch bestimmte personenbezogene Daten über den zulässigen Zeitraum hinaus aufbewahrt wurden“, sagte Keystone. „Wir haben es versäumt, unsere Verpflichtung zur rechtzeitigen Löschung von Kundendaten zu erfüllen, und wir übernehmen die Verantwortung für dieses Versäumnis.“

Kundenlisten sind ein wiederkehrender Schwachpunkt für Wallet-Hersteller. Ledgers Leak von 2020 erreichte schließlich etwa 292.000 Kunden, und diejenigen, die danach Phishing-E-Mails erhielten, befürchteten, Opfer von Einbrüchen in ihre Wohnungen werden zu können.

Trezor und SafePal gaben jeweils im August Datenschutzverletzungen bei Kundendaten bekannt, von denen 13.689 Kunden bzw. etwa 39.798 Kunden betroffen waren.

Namen und Adressen sind wegen Wrench-Angriffen von Bedeutung, bei denen Kriminelle mit Drohungen oder Gewalt Besitzer dazu zwingen, ihre Kryptowährungen herauszugeben. Chainalysis zählte 46 gewaltsame Angriffe in der ersten Hälfte des Jahres 2026, bei denen mehr als 30 Millionen Dollar gestohlen wurden.

Der Hersteller warnte außerdem vor Betrügern, die „Asset-Migration“, „Wallet-Verifizierung“ oder „Untersuchungshilfe“ anbieten.

Verkäufe auf der Website von Keystone werden auf Vorbestellungen umgestellt, bis die Produktion von Geräten mit einem neuen Schlüssel abgeschlossen ist, und das Unternehmen gibt an, Berichte an Behörden in der EU, im Vereinigten Königreich und in anderen Jurisdiktionen übermittelt zu haben.

Keystone verkürzte seine Aufbewahrungsfrist für Kundendaten von 180 Tagen auf 90 Tage und bat Shopify am 24. Oktober, alle überfälligen Käuferdaten zu löschen, ein Vorgang mit einer Wartezeit von 10 Tagen. Das Unternehmen erwartet, dass die Löschung am 3. November abgeschlossen sein wird.