Beim Hardware-Wallet-Hersteller Keystone gab es einen Sicherheitsvorfall: Angreifer erhielten Zugriff auf persönliche Kundendaten. Außerdem erbeuteten sie einen Schlüssel, mit dem sich die Echtheit von Geräten prüfen lässt. Für Nutzer ist wichtig, zwischen dem Schutz ihrer Wallet-Zugangsdaten und der Geräteauthentifizierung zu unterscheiden.
In seiner offiziellen Stellungnahme beschreibt Keystone den Vorfall und gibt Hinweise für betroffene Kunden. Ich fasse zusammen, was bekannt ist und worauf du achten solltest.
Welche Kundendaten betroffen sind
Betroffen sind Daten aus Bestellungen im offiziellen Keystone-Shop, die über Shopify abgewickelt wurden. Dazu zählen Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Auch nicht abgeschlossene Checkouts können Angaben enthalten, die Nutzer während des Bestellvorgangs eingetragen haben.
Keystone gibt an, dass Käufe über Amazon und andere Verkaufskanäle nicht betroffen sind. Demnach betrifft der Vorfall Bestellungen im offiziellen Shop, nicht aber Bestellungen über Drittanbieter.
Solche Vorfälle zeigen, dass neben der technischen Sicherheit eines Hardware Wallets auch der Schutz von Kundendaten eine Rolle spielt. Mehr dazu liest du in meinen Beiträgen über das Datenleck bei Trezor und frühere Sicherheitsvorfälle rund um Ledger.
Sind deine Coins und dein Wallet betroffen?
Keystone erklärt, dass bei diesem Vorfall keine Seed-Phrasen, privaten Schlüssel oder anderen Wallet-Zugangsdaten erbeutet wurden. Der Vorfall bedeutet daher nicht automatisch, dass jemand auf deine Kryptowährungen zugreifen kann. Allein deswegen musst du deine Coins laut Keystone nicht auf eine andere Wallet übertragen.
Der Diebstahl persönlicher Kontaktdaten kann trotzdem zu gezielten Betrugsversuchen führen. Sei besonders vorsichtig bei Nachrichten oder Anrufen, die eine angebliche Wallet-Prüfung, eine Vermögensmigration oder Unterstützung bei einer Untersuchung anbieten. Gib niemals deine Seed-Phrase heraus und schicke dein Gerät nicht an unbekannte Personen.
Der gestohlene Schlüssel zur Geräteauthentifizierung
Zusätzlich zu den Kundendaten wurde laut Keystone ein Schlüssel erbeutet, der bei der Prüfung der Geräteauthentizität zum Einsatz kommt. Dieser Schlüssel ist nach Unternehmensangaben nicht an der Erzeugung von Seed-Phrasen oder privaten Schlüsseln und auch nicht an der Signierung von Transaktionen beteiligt. Er dient dazu, die Echtheit eines Geräts zu prüfen.
Keystone unterscheidet deshalb nach dem Zeitpunkt, zu dem ein Gerät ausgeliefert wurde:
- Vor dem 20. Oktober 2026 ausgelieferte Geräte: Keystone zufolge ist deren Authentifizierungsfunktion nicht betroffen.
- Nach dem 20. Oktober 2026 erhaltene Geräte mit dem alten Schlüssel: Eine erfolgreiche Authentifizierungsprüfung schließt laut Keystone nicht vollständig aus, dass ein Gerät gefälscht ist. Wende dich an den offiziellen Support und nutze das Gerät erst, wenn seine Echtheit bestätigt wurde.
Keystone teilt mit, die Produktion auf einen neuen Schlüssel umzustellen und Lagergeräte mit dem alten Schlüssel nicht auszuliefern. Wenn du unsicher bist, kontaktiere den Support über die offiziellen Kanäle. Klicke nicht auf Links aus unerwarteten Nachrichten, sondern gib die Adresse der offiziellen Website selbst im Browser ein.
Was du jetzt tun kannst
- Prüfe, ob du direkt im offiziellen Keystone-Shop oder über einen anderen Verkaufskanal bestellt hast.
- Achte auf verdächtige E-Mails, Anrufe und Nachrichten – besonders, wenn Druck aufgebaut oder nach deiner Seed-Phrase gefragt wird.
- Wenn du dein Gerät nach dem 20. Oktober 2026 erhalten hast, kläre seine Echtheit direkt mit Keystone, bevor du es verwendest.
- Wende dich bei Fragen an den offiziellen Support und versende dein Gerät nicht an Personen, die sich unerwartet bei dir melden.
Unabhängig von diesem Vorfall lohnt es sich, grundlegende Maßnahmen zur sicheren Verwahrung deiner Kryptowährungen konsequent umzusetzen.
Fazit
Beim Keystone-Datenleck sind persönliche Bestellinformationen betroffen. Seed-Phrasen und private Schlüssel wurden laut Unternehmen nicht erbeutet. Für Nutzer ergibt sich daraus kein Grund, ihre Coins vorschnell zu übertragen. Der gestohlene Schlüssel zur Geräteauthentifizierung ist jedoch ein zusätzliches Risiko bei bestimmten Geräten, die nach dem 20. Oktober 2026 ausgeliefert wurden. Bleib bei unerwarteten Kontaktaufnahmen skeptisch und kläre die Echtheit eines betroffenen Geräts direkt mit Keystone.
