Der Hardware-Wallet-Anbieter Keystone hat einen Sicherheitsvorfall bestätigt: Unbekannte haben sich Zugriff auf die Website verschafft und Kundendaten erbeutet. Betroffen sind Namen, Kontaktdaten, Lieferadressen sowie Bestellinformationen einschließlich gekaufter Produkte und Preise. Private Schlüssel und Wiederherstellungsphrasen wurden nach Unternehmensangaben nicht offengelegt. Für betroffene Käufer besteht dennoch ein Risiko durch gezielte Betrugsversuche.
Keystone bestätigt Datenabfluss nach Prüfung mit Shopify
Laut der offiziellen Mitteilung von Keystone auf X bemerkte das Unternehmen den unbefugten Zugriff am 20. Oktober. Nach einer Überprüfung der API-Aktivitäten gemeinsam mit Shopify bestätigte Keystone am 23. Oktober den Abfluss von Kundendaten.
Der Anbieter hat nach eigenen Angaben den Zugriff gesperrt, die Sicherheitslücke geschlossen und eine Untersuchung eingeleitet. Betroffene Kunden werden per E-Mail informiert. Wie viele Käufer betroffen sind, geht aus der Mitteilung nicht hervor. Ein ausführlicher Bericht soll folgen.
Neben privaten Schlüsseln und Wiederherstellungsphrasen seien auch Wallet-Passwörter, Bankverbindungen und Zahlungskartendaten nicht betroffen.
Warum gestohlene Bestelldaten gefährlich werden können
Die entscheidende Unterscheidung: Ein Datenleck beim Verkäufer bedeutet nicht automatisch, dass Angreifer auf die Kryptowährungen seiner Kunden zugreifen können. Persönliche Angaben können jedoch dabei helfen, einen anschließenden Betrug glaubwürdig erscheinen zu lassen.
Wer Namen, Lieferadresse und das tatsächlich bestellte Produkt kennt, kann eine vermeintliche Support-Anfrage präzise auf den Empfänger zuschneiden. Korrekte Bestelldetails sind nach einem solchen Vorfall deshalb kein zuverlässiger Beleg dafür, dass eine Nachricht wirklich vom Hersteller stammt.
Keystone warnt ausdrücklich vor Kontaktaufnahmen per Telefon, SMS, E-Mail oder Brief. Betrüger könnten Rückerstattungen, Ersatzgeräte oder angebliche Korrekturen an Bestellungen und Adressen anbieten.
Was Keystone-Kunden jetzt beachten sollten
Der Anbieter fordert Kunden auf, niemals ihre Wiederherstellungsphrase oder privaten Schlüssel weiterzugeben. Auch in ein nicht selbst bestelltes Gerät sollte die Wiederherstellungsphrase keinesfalls eingegeben werden. Links in unerwarteten Nachrichten sollten Kunden meiden und die Herstellerwebsite stattdessen direkt aufrufen.
Der Vorfall verdeutlicht eine zusätzliche Sicherheitsfrage bei der Selbstverwahrung: Neben dem Schutz der privaten Schlüssel zählt auch der Umgang mit den beim Kauf hinterlegten Kundendaten. Eine Hardware-Wallet kann Schlüssel offline schützen – die beim Händler gespeicherte Lieferadresse schützt sie nicht.
Raphael Lulay ist Herausgeber und Redakteur von boersen-parkett.de. Er verfügt über einen akademischen Hintergrund in Politik, Soziologie und Verwaltung (B.A.) und berichtet seit 2018 über Kryptowährungen, Bitcoin, Altcoins und digitale Kapitalmärkte. Neben seiner Tätigkeit auf boersen-parkett.de veröffentlicht er regelmäßig Beiträge auf Block-Builders.de und Bitcoin-2Go.de. Zuvor schrieb er auch für Finanzpublikationen wie Fonds Finanz und das B.MAG Bankenmagazin. Sein Fokus liegt auf der datenbasierten Einordnung von Marktbewegungen, Kapitalflüssen, Regulierung und Krypto-Trends für Anleger. E-Mail: [email protected]
Boersen-Parkett bei Google als bevorzugte Nachrichtenquelle markieren und keine Finanz- und Krypto-News mehr verpassen. Wie funktioniert das?