Keystone vernichtet 18.835 Hardware-Wallets nach Diebstahl des Echtheitsschlüssels

Den unbefugten Zugriff entdeckte Keystone am 20. Oktober und sperrte den Angreifer noch am selben Tag aus. Ausgenutzt wurde nach Unternehmensangaben eine Schwachstelle in einem Datenüberwachungswerkzeug eines Drittanbieters, das auf der Website eingesetzt wurde; darüber konnte der Angreifer seine Rechte ausweiten und sowohl Kundendaten als auch den Schlüssel erlangen. Die Lücke ist inzwischen geschlossen. Wann der Angreifer erstmals eindrang und wo der Schlüssel gespeichert war, hat Keystone nicht mitgeteilt.

Die Empfehlung an Besitzer hängt davon ab, wann ihr Gerät ankam. Zu Geräten mit altem Schlüssel, die nach dem 20. Oktober eintrafen, erklärte das Unternehmen: „Selbst wenn ein solches Gerät die Authentifizierung besteht, können wir die Möglichkeit nicht vollständig ausschließen, dass es sich um eine Fälschung handelt." Betroffene sollen den Support unter support@keyst.one kontaktieren und das Gerät erst nach Bestätigung der Echtheit nutzen. Geräte, die vor dem 20. Oktober geliefert wurden und die Prüfung bestehen, gelten laut Keystone als echt und können normal weiterverwendet werden.

So funktioniert die Echtheitsprüfung: Der Besitzer scannt mit dem Gerät einen QR-Code auf der Verifikationsseite von Keystone und gibt den vom Gerät angezeigten Code dort ein. In der quelloffenen Firmware enthält der QR-Code diesen Code in verschlüsselter Form; das Gerät entschlüsselt ihn mit dem gespeicherten Schlüssel. Ein korrekter Code belegt also, dass das Gerät den Schlüssel besitzt. Verwendet wird der Schlüssel ausschließlich für diese Prüfung – bei der Erzeugung von Recovery-Phrasen, der Ableitung privater Schlüssel oder dem Signieren von Transaktionen spielt er keine Rolle.

Wer eine Kopie des Schlüssels besitzt, kann die passenden Codes erzeugen. Ein gefälschtes Gerät mit diesem Schlüssel würde die Prüfung bestehen; solche Geräte könnten verkauft oder an Kunden versandt werden, was zum Diebstahl ihrer Kryptowerte führen könnte, so Keystone. Bislang hat das Unternehmen weder gefälschte Geräte noch Diebstähle gemeldet.

Der Schlüssel wird während der Fertigung in jedes Gerät geschrieben und kann weder gelöscht noch überschrieben werden. Die Firmware hält ihn in einem nur einmal beschreibbaren Speicher und verweigert die Annahme eines zweiten Schlüssels. Bereits produzierte Geräte lassen sich daher nicht auf den neuen Schlüssel umstellen – daraus folgt die Vernichtung der 18.835 unverkauften Geräte.

Den Einbruch hatte Keystone zunächst am 24. Oktober öffentlich gemacht und dabei erklärt, ein Dritter habe Versanddaten von Kunden erlangt. Am 26. Oktober nannte das Unternehmen den Umfang: Betroffen sind 25.964 Käuferdatensätze aus Bestellungen im Webshop zwischen 2024 und 2026. Sie enthalten Namen, Kontaktdaten, Lieferadressen und Bestelldetails. Der Online-Shop läuft auf Shopify, wo die Daten gespeichert und verwaltet wurden. Zahlungskarten- und Bankdaten sowie amtliche Ausweisnummern waren laut Keystone nicht betroffen; Bestelldaten von Amazon und aus anderen Vertriebskanälen ebenfalls nicht. Vorsorglich bezieht Keystone zusätzlich 12.873 nicht abgeschlossene Checkout-Datensätze ein, die Namen, Kontakt- und Versanddaten aus nie abgeschlossenen Käufen enthalten.

Ein Teil der betroffenen Daten hätte bereits gelöscht sein müssen: Keystone hatte zugesagt, Versandinformationen 180 Tage nach jeder Bestellung zu löschen. Ein selbst entwickeltes Werkzeug zur massenhaften Löschung arbeitete jedoch nicht zuverlässig; einzelne Löschvorgänge schlugen fehl, und das Unternehmen bemerkte die Fehler nicht rechtzeitig. Die Aufbewahrungsfrist für personenbezogene Kundendaten verkürzt Keystone mit sofortiger Wirkung von 180 auf 90 Tage. Shopify wurde aufgefordert, Käuferdaten zu löschen, die älter als 90 Tage sind; damit rechnet das Unternehmen am 3. November. Am 27. Oktober nannte die Datenschutzerklärung weiterhin 180 Tage. Betroffene Kunden werden per E-Mail informiert; zudem ist eine Seite geplant, auf der sich prüfen lässt, ob die eigenen Daten betroffen sind.

Für Besitzer und Käufer gilt im Einzelnen:

• Lieferung vor dem 20. Oktober: Besteht das Gerät die Prüfung, kann es normal genutzt werden.
• Erhalt nach dem 20. Oktober mit altem Schlüssel: Gerät nicht verwenden, bis der Support die Echtheit bestätigt. Keystone verwies diese Besitzer auf Anweisungen auf seiner Verifikationsseite, dort standen am 27. Oktober jedoch keine solchen Hinweise. Wie sich erkennen lässt, welchen Schlüssel ein Gerät trägt, und was Besitzer tun sollen, die bereits Kryptowerte an ein solches Gerät gesendet haben, hat das Unternehmen nicht mitgeteilt.
• Offene Bestellung im Webshop: Der Versand ruht, bis Geräte mit neuem Schlüssel verfügbar sind. Am 27. Oktober war das Keystone 3 Pro im Shop als Vorbestellung mit einer erwarteten Lieferzeit von vier bis sechs Wochen gelistet.
• Kauf über Amazon oder Händler: Es gilt dieselbe Empfehlung, da sie sich am Lieferzeitpunkt orientiert, nicht am Kaufort. Keystone verkauft über offizielle Amazon-Shops und autorisierte Wiederverkäufer; ob dort noch Geräte mit altem Schlüssel angeboten werden, ist offen.
• Bestehende Bestände: Allein wegen des Vorfalls müssen Kryptowerte nicht verschoben werden, so Keystone. Für Geräte, die nach dem 20. Oktober mit altem Schlüssel eintrafen, gelten weiterhin die genannten Schritte.

Vor Betrugsversuchen warnt das Unternehmen ausdrücklich: Anrufe, SMS, E-Mails oder Briefe, die Erstattungen, Ersatzgeräte, einen Rückruf, eine Wallet-Verifikation oder Hilfe beim Verschieben von Kryptowerten anbieten, seien als Betrug zu behandeln. Keystone fordert niemanden auf, ein Gerät zurückzusenden. Eine Recovery-Phrase solle nie in ein nicht selbst bestelltes Gerät eingegeben und keyst.one direkt im Browser eingetippt statt Links gefolgt werden.