Keystone: Website-Verletzung legte Adressen von Käufern von Hardware-Wallets offen

Der Hersteller von Krypto-Hardware-Wallets Keystone hat eine Sicherheitsverletzung seiner Website bekannt gegeben, durch die Kundeninformationen an Angreifer gelangten. Dies weckte Bedenken hinsichtlich gezielter Betrugsversuche und physischer Angriffe. 

Keystone sagte am Samstag, dass das Unternehmen Anfang der Woche verdächtige Aktivitäten festgestellt habe. Am Freitag bestätigte es nach einer Überprüfung der API-Aktivitäten mit Shopify, dass ein unbefugter Dritter auf Versandinformationen von Kunden zugegriffen hatte. Dazu gehörten Namen, Kontaktdaten, Versandadressen und weitere Bestelldetails, etwa gekaufte Artikel. 

„Wir haben den Zugriff gesperrt, die Schwachstelle behoben, eine Untersuchung eingeleitet und betroffene Kunden per E-Mail benachrichtigt“, teilte das Unternehmen mit.

Keystone warnte, dass die offengelegten Informationen für gezielte Phishing-Angriffe verwendet werden könnten. Die Sicherheitsforscherin Taylor Monahan äußerte jedoch ebenfalls Bedenken, dass die Veröffentlichung von Lieferadressen Kunden physischen Angriffen und Entführungen aussetzen könnte. 

Das Blockchain-Sicherheitsunternehmen CertiK verzeichnete weltweit 52 bestätigte Wrench-Angriffe in der ersten Hälfte des Jahres 2026, 33 % mehr als die 39 im gleichen Zeitraum des Vorjahres. Bei solchen Verbrechen, die gemeinhin als „Wrench-Angriffe“ bezeichnet werden, werden durch physische Drohungen oder Gewalt Inhaber von Kryptowährungen gezwungen, ihre Vermögenswerte herauszugeben. 

„Noch einmal: Es tut uns wirklich leid für alle Betroffenen“, sagte Keystone. Das Unternehmen machte keine Angaben dazu, wie viele Kunden betroffen waren. 

Keystone wegen Versprechens zur Löschung von Kundendaten in der Kritik

Die Verletzung hat zudem Fragen zum Umgang von Keystone mit älteren Kundeninformationen aufgeworfen. 

In einem Blogbeitrag aus dem Jahr 2023 erklärte Keystone, die Aufbewahrungsfrist für Kundendaten nach Sicherheitsvorfällen bei anderen Herstellern von Hardware-Wallets auf 180 Tage reduziert zu haben. 

Einige Kunden erklärten jedoch, sie hätten Benachrichtigungen über die Verletzung erhalten, obwohl sie ihre Geräte vor mehr als zwei Jahren gekauft hätten. Dies warf Fragen dazu auf, welche Informationen Keystone aufbewahrte und ob die Benachrichtigungen darauf hindeuten, dass ältere Bestelldaten entgegen der Zusage nicht gelöscht wurden. 

Verwandt: Italien untersucht Verletzung von Regierungs-E-Mails im Zusammenhang mit Revolut-Datenleck

Ein X-Nutzer mit dem Namen „OG DEGEN“ sagte, er habe einen Anruf von einem Betrüger erhalten, der behauptete, als Strafverfolgungsbeamter einen Betrugsfall zu untersuchen. Aufgrund der persönlichen Informationen, auf die sich der Anrufer bezog, vermutete der Nutzer, dass dieser sie über eine 2024 aufgegebene Keystone-Bestellung erhalten hatte. 

„Ich glaube, der Plan war, mich davon zu überzeugen, dass meine privaten Schlüssel offengelegt worden seien, und mir dann einen Phishing-Link zu schicken, mit dem ich sie angeblich zurücksetzen sollte“, schrieb er auf X. 

Ein weiterer X-Nutzer, trintaetres, sagte ebenfalls, dass er die E-Mail-Benachrichtigung erhalten habe, obwohl er das Gerät vor mehr als zwei Jahren gekauft hatte. 

Cointelegraph kontaktierte Keystone mit der Frage, wie Kundeninformationen aus Käufen, die mehr als 180 Tage zurücklagen, trotz der zuvor angekündigten Aufbewahrungsrichtlinie offengelegt werden konnten und wie viele Kunden betroffen waren. Das Unternehmen hatte bis zum Redaktionsschluss nicht geantwortet. 

Magazin: KI-Agenten helfen, den Glamsterdam-Fork von ETH zu retten, „Steal My Bitcoin“-Website: Hodler’s Digest