Keystone hat ein Hardware-Wallet Datenleck im Onlineshop bestätigt. Kunden berichten, dass auch Bestellungen betroffen sind, die länger als 180 Tage zurückliegen.
Hardware-Wallet-Hersteller unter Druck nach Datenabfluss
Der Hersteller Keystone hat ein Hardware-Wallet Datenleck in seinem Onlineshop bestätigt, seit dem Wochenende melden Kunden betroffene Bestellungen, die länger als 180 Tage zurückliegen. Keystone hatte den unbefugten Zugriff am 20. Oktober bemerkt und ihn am 23. Oktober nach Prüfung der API-Aktivität mit dem Shop-Anbieter Shopify bestätigt.
Abgeflossen sind nach Unternehmensangaben Namen, Kontaktdaten, Lieferadressen und Bestelldetails wie gekaufte Produkte und Preise. Zahlungs- und Bankdaten, Wiederherstellungsphrasen, private Schlüssel und Wallet-Passwörter seien nicht betroffen, Guthaben ebenfalls nicht.
Wie viele Kunden das Hardware-Wallet Datenleck betrifft und wie der Angreifer eindrang, hat Keystone bislang nicht mitgeteilt. Ein ausführlicher Bericht soll in den kommenden Tagen folgen. Das Unternehmen entschuldigte sich und warnte vor Betrügern, die sich als Keystone ausgeben.
Löschzusage von 180 Tagen wird infrage gestellt
Keystone wirbt seit Monaten damit, Lieferdaten nach spätestens 180 Tagen zu löschen. In einem Beitrag auf X vom 5. Januar 2026 hieß es, die Daten würden 180 Tage nach einer Bestellung „dauerhaft gelöscht“. Im März grenzte sich das Unternehmen damit von anderen Herstellern ab, die Daten unbegrenzt speichern.
Die Datenschutzerklärung von Keystone formuliert enger: Gelöscht werden Bestelldaten von Kunden, die in den vergangenen 180 Tagen nicht bestellt haben. Ein neuer Kauf setzt die Frist damit faktisch neu. Laut Hilfecenter bleiben zudem Stadt und Land gespeichert, die endgültige Löschung übernimmt Shopify.
Kundendaten trotz Löschfrist noch im Umlauf
Mehrere Nutzer auf X berichten, Benachrichtigungen zum Hardware-Wallet Datenleck erhalten zu haben, obwohl ihr Kauf länger zurückliegt. Einer gibt an, vor über zwei Jahren bestellt zu haben, ein anderer zählt 214 Tage zwischen letzter Bestellung und Vorfall. Ein dritter meldet einen Anruf über eine gefälschte Polizeinummer, bei dem Details einer Bestellung aus 2024 fielen. Diese Angaben sind unbestätigt, Keystone hat sich zur Einhaltung der Frist bisher nicht geäußert.
Der Fall reiht sich in eine Serie ein: Im August waren bei Trezor über den Versanddienstleister ShipMonk zunächst rund 14.000, später weitere rund 67.000 US-Kunden betroffen, bei SafePal knapp 40.000 Kunden.
Die Coins der Keystone-Kunden sind nach aktuellem Stand sicher, ihre Lieferadressen jedoch nicht, und gerade sie machen Selbstverwahrer zum Ziel für Betrug. Ob Keystone die Löschfrist für Kundendaten eingehalten hat, bleibt bis zum angekündigten Bericht offen.
Jede Kundendatenbank eines Herstellers bleibt ein zentraler Angriffspunkt in einem ansonsten selbst verwahrten System. Eine Löschzusage senkt dieses Risiko nur, wenn sie überprüfbar umgesetzt wird.
Wir berichteten über den Datenklau bei Trezor über den Dienstleister Mailchimp.
