Keystone gab bekannt, dass am 20. Oktober ein unbefugter Zugriff auf die offizielle Website Kundennamen, Kontaktdaten, Lieferadressen und Bestelldetails, einschließlich gekaufter Artikel und Preise, offengelegt hat. Nach Prüfung der Shopify-API-Aktivitäten bestätigte das Unternehmen am 23. Oktober, dass Dritte die Versandinformationen erlangt hatten. Keystone erklärte, dass Zahlungs- und Bankdaten, Wallet-Passwörter, Wiederherstellungsphrasen und private Schlüssel nicht kompromittiert wurden. Das Unternehmen sperrte den Zugriff, patchte die Schwachstelle, leitete eine Untersuchung ein, benachrichtigt betroffene Kunden per E-Mail und will in den nächsten Tagen einen ausführlichen Bericht vorlegen.
Die offengelegten Bestelldaten erhöhen das Risiko gezielter Phishing- und Social-Engineering-Angriffe: Betrüger könnten sich telefonisch, per SMS, E-Mail oder postalisch als Keystone ausgeben und Rückerstattungen, Ersatzgeräte oder Hilfe anbieten. Der Vorfall fällt in eine belastete Phase der Hardware-Wallet-Branche: Ledger meldete manipulierte, echt wirkende Geräte über einige südostasiatische Wiederverkäufer, die angeblich 24-Wort-Wiederherstellungsphrasen auslasen und per LTE übermittelten; erste Berichte verbanden damit mehr als 86 Millionen US-Dollar an mutmaßlichen Krypto-Diebstählen, was Ledger nicht bestätigt hat. Trezor berichtete zuvor von einem Datenleck beim Logistikdienstleister ShipMonk, das sich von zunächst 13.000 US-Kunden auf über 80.000 Fälle ausweitete.
Aufbewahrungsfragen und physische Risiken
Neue Meldungen bestätigen, dass Keystone den Vorfall mit einem unautorisierten Websitezugriff vom 20. Oktober in Verbindung bringt und den Diebstahl von Versanddaten nach Prüfung der Shopify-API-Aktivität bestätigte. Die aktuellen Berichte fügen zwei wichtige Punkte hinzu: verstärkte Warnungen vor physischen Risiken und Zweifel an der Datenaufbewahrung des Unternehmens. Die Sicherheitsforscherin Taylor Monahan wies darauf hin, dass geleakte Versandadressen Überfälle oder Entführungen – sogenannte „Wrench Attacks“ – ermöglichen können. Blockchain-Sicherheitsfirma CertiK dokumentierte 52 verifizierte Wrench Attacks weltweit in der ersten Hälfte 2026, ein Anstieg von 33% gegenüber dem Vorjahreszeitraum.
Außerdem wird die Datenaufbewahrung problematisiert: Keystone hatte 2023 angegeben, Kundendaten nur noch 180 Tage zu speichern, dennoch berichteten mehrere Kunden, Benachrichtigungen für Käufe erhalten zu haben, die mehr als zwei Jahre zurückliegen. Einige Betroffene schilderten Anrufe von Betrügern, die sich auf Bestelldetails bezogen, was darauf hindeutet, dass ältere Datensätze weiterhin vorhanden waren. Keystone beantwortete zu Veröffentlichungszeitpunkt nicht die Fragen, wie älterer Bestelldaten offengelegt werden konnten oder wie viele Kunden insgesamt betroffen sind.