Der Hardware-Wallet-Hersteller Keystone vernichtet 18.835 neue Geräte aus seinem Lager und stoppt vorerst die Auslieferung. Bei einem Einbruch in die Website haben Angreifer Kundendaten erbeutet und dazu einen Schlüssel, mit dem sich die Geräte bei der Echtheitsprüfung als Original ausweisen. Gefälschte Wallets könnten diese Prüfung damit bestehen. Es ist der nächste Fall in einer Serie, die 2026 fast jeden großen Hersteller erreicht hat, und der erste, der die Echtheitsprüfung selbst trifft.
Was bei Keystone passiert ist
Am 20. Oktober bemerkte Keystone einen unbefugten Zugriff auf seine Website. Die Angreifer nutzten eine Schwachstelle in einem externen Überwachungstool und verschafften sich darüber weitergehende Rechte. Zunächst meldete das Unternehmen nur ein Datenleck. Mit einem Update am Montag kam der schwerere Teil dazu, denn auch der Schlüssel für die Echtheitsprüfung ist in fremden Händen.
Betroffen sind 25.964 Bestelldatensätze aus den Jahren 2024 bis 2026 mit Namen, Kontaktdaten, Lieferadressen und Bestelldetails. Dazu kommen möglicherweise 12.873 Datensätze von Bestellungen, die nie abgeschlossen wurden. Viele dieser Daten hätten gar nicht mehr existieren dürfen. Keystone hatte zugesagt, Kundendaten nach 180 Tagen zu löschen, doch das automatische Löschsystem fiel immer wieder aus, ohne dass es jemand bemerkte. Das Unternehmen räumt den Fehler ein und will Daten künftig nur noch 90 Tage aufbewahren. Recovery-Phrasen, private Schlüssel und Zahlungsdaten waren nach Angaben von Keystone nicht betroffen.
Warum der gestohlene Schlüssel schwerer wiegt als die Adressen
Jede Keystone-Wallet bekommt bei der Herstellung einen Schlüssel fest eingeschrieben. Mit ihm weist sich das Gerät bei der Online-Prüfung als echt aus, löschen oder austauschen lässt er sich nicht. Wer diesen Schlüssel besitzt, kann ein manipuliertes Gerät bauen, das die Prüfung trotzdem besteht. Keystone warnt selbst, solche Fälschungen könnten verkauft oder an Kunden verschickt werden, die sie arglos einrichten und am Ende ihre Coins verlieren.
Deshalb trifft die Maßnahme das ganze Lager. Alle Geräte mit dem alten Schlüssel werden vernichtet, neue Geräte erhalten einen neuen. Bis dahin nimmt Keystone auf der Website nur Vorbestellungen an.
Gefährlich wird die Verbindung beider Teile. Mit den Lieferadressen wissen Betrüger, wer eine Keystone besitzt und wohin sie ein angebliches Ersatzgerät schicken könnten. Der frühere Chef der Kryptobörse Mt. Gox, Mark Karpelès, fragte auf X, warum ein solcher Schlüssel überhaupt außerhalb der Geräte lag. Seiner Ansicht nach sollte jede Wallet ihren eigenen Schlüssel selbst erzeugen. Ledger-Mitgründer Nicolas Bacca sieht das Grundproblem darin, dass sich eine ganze Gerätegeneration denselben Schlüssel teilt.
Was das für Keystone-Besitzer heißt
Geräte, die vor dem 20. Oktober geliefert wurden und die Echtheitsprüfung bestanden haben, können laut Keystone weiter genutzt werden. Wer danach ein Gerät mit dem alten Schlüssel erhalten hat, soll es vor dem Einrichten vom Support prüfen lassen. Coins umziehen muss allein wegen des Vorfalls niemand, zurückschicken muss man das Gerät ebenfalls nicht.
Daraus folgt eine einfache Regel für die kommenden Wochen. Nachrichten, die zu einem Rückruf, einem Umtausch oder einer Übertragung der Coins auffordern, sind sehr wahrscheinlich Betrug, auch wenn sie den richtigen Namen und die richtige Adresse kennen. Wer seine Wiederherstellungswörter irgendwo eintippen oder vorlesen soll, hat es immer mit einem Angreifer zu tun. Warum diese Wörter der eigentliche Zugang zu den Coins sind, erklären wir im Grundlagenartikel zu Seed Phrase und Private Key.
Die Hack-Welle 2026 trifft fast jeden Hersteller
Keystone ist kein Einzelfall. Einen Tag zuvor meldete der Hersteller Foundation einen eigenen Vorfall mit mehr als 23.000 Phishing-Versuchen über scheinbar offizielle Absender. Dort waren rund 5.600 Postadressen und 5.200 Telefonnummern zugänglich, Hinweise auf kompromittierte Geräte gibt es nicht.
Bei Ledger griff ein verstecktes Bauteil in Geräten von Händlern aus Südostasien die Wiederherstellungswörter ab. Bei Coldcard sorgte Ende Juli ein Fehler bei der Erzeugung der Seed dafür, dass Angreifer mehr als 1.000 Bitcoin von über 1.000 Adressen abzogen. Trezor verlor im August Kundendaten über einen Versanddienstleister, die Zahl der Betroffenen stieg bis September auf über 80.000. Beim Hersteller SafePal legte eine Lücke in der Bestellverfolgung fast 40.000 Kunden offen, BitBox-Kunden bekamen im September Phishing-Mails über einen gehackten E-Mail-Dienstleister.
Wie lange solche Daten nachwirken, zeigt das Ledger-Leck von 2020. Damals erbeuteten Angreifer rund 1 Mio. E-Mail-Adressen, im Dezember 2020 tauchten 272.000 Datensätze mit Namen, Adressen und Telefonnummern öffentlich auf. Betroffene bekamen über Jahre Phishing-Mails und SMS, manche fürchteten wegen der bekannten Wohnadresse auch Besuch vor der Haustür.
Was das für Anleger bedeutet
Kaum einer der Angriffe dieses Jahres hat den Sicherheitschip einer Hardware-Wallet geknackt. Getroffen wurden Onlineshops, Händler, Versanddienstleister und E-Mail-Systeme, bei Coldcard die Software. Die Sicherheit einer Wallet hängt damit an der ganzen Kette, von der Herstellung über den Versand bis zur Datenhaltung des Shops. Keystone zeigt, dass auch die Echtheitsprüfung zu dieser Kette gehört.
Für Besitzer verschiebt sich das Risiko vom Gerät zur Person. Wer als Käufer einer Hardware-Wallet bekannt ist, wird zum Ziel für Phishing, gefälschte Ersatzgeräte und im schlimmsten Fall für Erpressung. Wie viele Menschen hinter den knapp 39.000 Keystone-Datensätzen stehen, hat das Unternehmen nicht gesagt. Offen ist auch, ab wann Geräte mit neuem Schlüssel wieder ausgeliefert werden.
Häufige Fragen zum Keystone-Hack
Ist meine Keystone-Wallet noch sicher?
Laut Keystone ja, wenn das Gerät vor dem 20. Oktober 2026 geliefert wurde und die Echtheitsprüfung bestanden hat. Recovery-Phrasen und private Schlüssel waren nicht betroffen. Geräte, die danach mit dem alten Schlüssel ankamen, sollen vor der Nutzung vom Support geprüft werden.
Muss ich meine Coins auf eine neue Wallet übertragen?
Allein wegen des Vorfalls nicht, sagt Keystone. Aufforderungen zum Umzug der Coins oder zur Rücksendung des Geräts sind sehr wahrscheinlich Betrug.
Wie erkenne ich eine gefälschte Hardware-Wallet?
Bei Keystone reicht die Online-Echtheitsprüfung für Geräte mit dem alten Schlüssel nicht mehr als Beweis. Wer nach dem 20. Oktober geliefert bekam, lässt das Gerät vom Support prüfen. Grundsätzlich gilt für alle Hersteller, dass ein Gerät mit vorgegebenen Wiederherstellungswörtern oder geöffneter Verpackung nicht eingerichtet wird.
Welche Daten haben die Angreifer?
Namen, Kontaktdaten, Lieferadressen und Bestelldetails aus 25.964 Bestellungen von 2024 bis 2026, dazu möglicherweise 12.873 Datensätze unvollständiger Bestellungen. Zahlungsdaten waren laut Keystone nicht betroffen.
Dieser Beitrag dient der Information und ist keine Anlage-, Rechts- oder Steuerberatung.
Hinweis: Das Titelbild dieses Beitrags wurde mit Künstlicher Intelligenz erstellt.