Keystone ruft Hardware-Wallets zurück, nachdem der Authentifizierungsschlüssel der Fabrik gestohlen wurde

Keystone, ein Hersteller von Bitcoin-Hardware-Wallets, teilte am Montag mit, dass 18.835 nicht verkaufte Geräte vernichtet werden, nachdem Angreifer den kryptografischen Schlüssel erlangt haben, der die Echtheit seiner Hardware bestätigt. Das Unternehmen hat außerdem alle Bestellungen auf seiner Website pausiert, die noch nicht sein Lager verlassen haben.

Das Unternehmen betonte, dass Wiederherstellungsphrasen und private Schlüssel nicht kompromittiert wurden. Das Problem besteht darin, dass ein gefälschtes Gerät gebaut werden könnte, das Keystones eigene Echtheitsprüfung besteht, da diese Prüfung auf dem gestohlenen Schlüssel beruht. Ein solches Gerät könnte an einen ahnungslosen Käufer weiterverkauft werden, der dann echte Gelder darauf speichert.

Was offengelegt wurde

Keystone beschrieb den gestohlenen Schlüssel als WebAuth-Schlüssel, einen geheimen Wert, der während der Herstellung in jedes Gerät eingebracht wird. Er ermöglicht es einer Verifizierungsseite auf der Website des Unternehmens, zu bestätigen, dass die Hardware echt ist und nicht gelöscht oder verändert werden kann. Das Unternehmen vernichtet die Lagerbestände, die diesen Schlüssel tragen, anstatt sie zu verkaufen.

Keystone hatte am Samstag erstmals offengelegt, dass ein Dritter auf Versanddaten von Kunden zugegriffen hatte. Die jüngste Mitteilung bestätigte den Diebstahl des Schlüssels und bezifferte die betroffenen Käuferdatensätze auf 25.964. Der Angreifer wurde nicht benannt, und es wurde nicht angegeben, wann der Zugriff begann.

Versagen bei der Datenspeicherung

Die Datensätze stammten aus dem Shopify-Shop von Keystone. Von 51.083 betroffenen Käuferdatensätzen waren 25.119 bereits anonymisiert, während die verbleibenden 25.964 Käufe aus den Jahren 2024 bis 2026 betrafen und noch Namen, Kontaktdaten, Lieferadressen und Bestelldetails enthielten. Verkäufe über Amazon und andere Kanäle waren nicht betroffen.

Die Richtlinie von Keystone sah vor, Käuferdatensätze nach 180 Tagen zu löschen, doch ein automatisiertes Löschwerkzeug, das das Unternehmen entwickelt hatte, lief nicht zuverlässig. Das Unternehmen räumte ein, dass einige Löschaufgaben fehlschlugen, ohne rechtzeitig bemerkt zu werden, und übernahm die Verantwortung. Seitdem hat es die Aufbewahrungsfrist auf 90 Tage verkürzt und Shopify am 24. Oktober gebeten, alle überfälligen Käuferdaten zu löschen; der Abschluss wird für den 3. November erwartet.

Keystone warnte Kunden außerdem vor Betrugsmaschen, darunter Nachrichten mit Angeboten zu "Asset-Migration" oder "Ermittlungshilfe" sowie Aufforderungen, Geräte unter dem Vorwand eines Rückrufs zurückzuschicken. Das Unternehmen erklärte, den Vorfall den Behörden in der EU, im Vereinigten Königreich und in anderen Rechtsräumen gemeldet zu haben, und dass der Verkauf über die Website auf Vorbestellungen umgestellt wird, bis Geräte mit einem neuen Schlüssel produziert sind. Für die betroffenen Token lagen keine Marktpreisdaten vor.