Keystone-Datenleck: Lieferadressen von Wallet-Kunden abgeflossen

Der Hardware-Wallet-Hersteller Keystone hat einen Einbruch in seine Webseite bestätigt. Unbekannte haben Namen, Kontaktdaten, Lieferadressen und Bestellungen von Kunden abgegriffen, wie viele Menschen betroffen sind, sagt das Unternehmen nicht. Recovery-Phrasen, private Schlüssel und Zahlungsdaten gehören nach Angaben von Keystone nicht dazu.

Bemerkt hat Keystone den unbefugten Zugriff am 20. Oktober. Bestätigt war der Abfluss erst am 23. Oktober, nachdem das Unternehmen die Zugriffe über die Schnittstelle seines Shopsystems Shopify geprüft hatte.

Öffentlich machte Keystone den Vorfall am Samstagabend in einem Beitrag auf X, der mit einer Entschuldigung beginnt. “You trusted us with those details, and we’re sorry we didn’t keep them safe”, schreibt das Unternehmen: Die Kunden hätten ihm diese Angaben anvertraut, und es bedauere, sie nicht geschützt zu haben. Der Zugang sei inzwischen gesperrt, die Lücke geschlossen, eine Untersuchung laufe, und Betroffene bekämen eine E-Mail.

Gefährlich ist die Liste trotzdem, denn sie verrät, wer zu Hause eine Hardware-Wallet hat und wo er wohnt.

Keystone warnt deshalb vor Betrügern, die sich per Telefon, SMS, E-Mail oder Brief als Keystone ausgeben und Rückerstattungen, Ersatzgeräte oder Korrekturen an Bestellung und Lieferadresse anbieten. Das Unternehmen frage nie nach der Recovery-Phrase, schreibt es, und in ein Gerät, das man nicht selbst bestellt hat, gehöre sie nie eingegeben. Wer die Webseite aufrufen will, soll keyst.one selbst eintippen statt Links aus Nachrichten zu folgen.

Genau dieses Muster kennen Ledger-Kunden seit dem Datenleck von 2020: Danach bekamen Betroffene manipulierte Geräte per Post und Erpresser-E-Mails, und noch in diesem Monat tauchten gefälschte Ledger-Briefe mit einer erfundenen Meldepflicht auf. Wie man die 12 oder 24 Wörter vor solchen Tricks schützt, steht in unserem Ratgeber zur Seed-Phrase.

Keystone verkauft seine Geräte über den eigenen Onlineshop. Ob Kunden aus Deutschland, Österreich oder der Schweiz unter den Betroffenen sind, geht aus der Mitteilung nicht hervor. Klarheit bringt erst die angekündigte E-Mail an die Betroffenen.

Ob der ausführliche Bericht, den Keystone ohne Datum angekündigt hat, auch die Zahl der Betroffenen nennt, ist offen.