Keystone vernichtet 18.835 unverkaufte Hardware-Wallets, nachdem Angreifer den Schlüssel gestohlen haben, der die Echtheit seiner Geräte belegt

Keystone ist über seine erste Meldung zu dem Sicherheitsvorfall vom Samstag hinausgegangen. In einem Update am Montag teilte der Hersteller von Hardware-Wallets mit, ein Angreifer habe eine Schwachstelle in einem externen Überwachungstool auf seiner Website ausgenutzt – der Angriff wurde am 20. Oktober entdeckt und blockiert – und den Authentifizierungsschlüssel erbeutet, der in jedes Gerät im Werk eingeschrieben wird. Der Schlüssel lässt sich nicht ändern, daher wird Keystone 18.835 unverkaufte Wallets mit diesem Schlüssel vernichten, den Versand von Web-Bestellungen aussetzen und seinen Shop auf Vorbestellungen umstellen, bis Geräte mit einem neuen Schlüssel verfügbar sind, wie CoinDesk, The Hacker News und Decrypt berichten.

Der Schlüssel dient der Online-Echtheitsprüfung, nicht Wiederherstellungsphrasen, privaten Schlüsseln oder dem Signieren. Wer ihn besitzt, könnte Fälschungen bauen, die diese Prüfung bestehen. Laut Keystone können Geräte, die vor dem 20. Oktober ausgeliefert wurden, normal verwendet werden, wenn sie die Prüfung bestehen; Besitzer, die nach diesem Datum ein Gerät erhalten haben, sollten sich vor der Nutzung an den Support wenden. Das Unternehmen erklärt, es werde Kunden niemals zur Rücksendung eines Geräts auffordern, daher seien Rückrufnachrichten als Betrug zu behandeln.

Unabhängig davon teilte Keystone mit, 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 seien offengelegt worden, und räumte ein, dass sein automatisches Löschwerkzeug Daten nicht rechtzeitig entfernt habe. Die Aufbewahrungsfrist beträgt nun 90 Tage.