Keystone-Datenleck: 25.964 Kundendatensätze betroffen, Seed-Phrasen laut Hersteller sicher
Das Keystone Datenleck betrifft 25.964 Kundendatensätze, Angreifer erbeuteten zudem den Herstellerschlüssel zur Echtheitsprüfung. Keystone vernichtet 18.835 unverkaufte Geräte.
Keystone Datenleck betrifft 25.964 Kundendatensätze
Das Keystone Datenleck ist größer als zunächst bekannt: Der Hardware-Wallet-Hersteller legte am Montag, 26. Oktober 2026, offen, dass 25.964 Kundendatensätze aus seinem Onlineshop der Jahre 2024 bis 2026 betroffen sind. Zugleich vernichtet das Unternehmen 18.835 unverkaufte Geräte. Bemerkt hatte Keystone den Angriff bereits am 20. Oktober.
Abgeflossen sind beim Keystone Datenleck Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Insgesamt waren 51.083 Datensätze im Spiel, 25.119 davon hatte Keystone bereits gelöscht. Käufe über Amazon und andere Vertriebswege sind nach Unternehmensangaben nicht betroffen.
Eigentlich sollten Kundendaten nach 180 Tagen gelöscht werden. Das Werkzeug für die Massenlöschung versagte jedoch unbemerkt. Keystone verkürzte die Frist inzwischen auf 90 Tage, die Löschung der überfälligen Daten soll bis 3. November abgeschlossen sein.
Angreifer erbeuten den Herstellerschlüssel
Schwerer wiegt ein zweiter Teil der Meldung. Die Angreifer erbeuteten den sogenannten WebAuth-Schlüssel, ein dauerhaftes Geheimnis, das ab Werk in jedes Gerät geschrieben wird. Über eine Seite der Keystone-Website prüfen Käufer damit, ob ihre Hardware echt ist. Der Schlüssel lässt sich weder löschen noch überschreiben.
Fälschungen könnten die Echtheitsprüfung damit bestehen. Keystone zieht deshalb alle unverkauften Geräte mit diesem Schlüssel zurück und stoppt den Versand offener Bestellungen aus dem eigenen Shop. Geräte, die vor dem 20. Oktober ausgeliefert wurden, sind laut Stellungnahme des Herstellers nicht betroffen. Bis Geräte mit neuem Schlüssel vorliegen, verkauft Keystone nur per Vorbestellung.
Wer hinter dem Angriff steht und wann die Täter eindrangen, ist bisher nicht bekannt. Keystone meldete den Vorfall Behörden in der EU, in Großbritannien und weiteren Ländern.
Seed-Phrasen laut Hersteller nicht betroffen
Wiederherstellungsphrasen, also die Wortfolgen zur Sicherung einer Wallet, und private Schlüssel waren nach Angaben von Keystone nicht Teil des Lecks. Unabhängig prüfen lässt sich das bisher nicht. Das Unternehmen warnt vor Betrügern, die „Vermögensmigration“, „Wallet-Verifizierung“ oder Hilfe bei Ermittlungen anbieten, und betont, nie die Rücksendung von Geräten zu verlangen.
Keystone erklärte am 26. Oktober:
„Wir haben unsere Zusage, Kundendaten rechtzeitig zu löschen, nicht eingehalten, und wir übernehmen die Verantwortung für dieses Versagen.“
Das Keystone Datenleck zeigt, dass Hardware Wallet Sicherheit nicht am Gerät endet. Wer Bitcoin selbst verwahrt, verlässt sich beim Kauf dennoch auf einen Händler, der Adressen speichert und die Echtheit bestätigt.
Offen bleibt, ob gefälschte Geräte bereits im Umlauf sind und wie Keystone die Echtheit künftig prüft. Die abgeflossenen Lieferadressen lassen sich nicht zurückholen und bleiben ein Risiko für gezielte Betrugsversuche.
Wir berichteten über manipulierte Ledger-Geräte aus Südostasien.