Es sind schwere Zeiten für Bitcoiner, die Self Custody verfechten. In den letzten Monaten kommt es immer häufiger zu Angriffen gegen Hardware Wallets oder deren Hersteller. Nun hat der Hardware-Wallet-Hersteller Keystone nach einem Hackerangriff den Verlust eines Sicherheitsschlüssels bestätigt, mit dem die Echtheit seiner Geräte überprüft wird. Angreifer konnten damit gefälschte Wallets herstellen, die bei der Authentifizierung als Originalgeräte erkannt werden, heißt es. Kunden würden die Fälschungen möglicherweise unwissentlich verwenden und dadurch ihre Krypto-Assets riskieren, warnt das Unternehmen in einer X-Nachricht.
Ursprünglich hatte Keystone lediglich den Diebstahl von Kundendaten gemeldet. Nach Angaben des Herstellers nutzten die Hacker eine Schwachstelle in einem externen Überwachungstool der Website, um ihre Zugriffsrechte auszuweiten.
Keystone vernichtet mehr als 18.000 Hardware Wallets
Als Reaktion auf den Angriff will Keystone jetzt 18.835 Geräte aus seinem Lagerbestand vernichten. Auch die Auslieferung betroffener Modelle wurde gestoppt und soll erst wieder aufgenommen werden, wenn Geräte mit einem neuen Schlüssel produziert werden.
Hardware Wallets, die vor dem Angriff am 20. Oktober hergestellt und ausgeliefert wurden, gelten laut Keystone weiterhin als sicher. Bei später zugestellten Geräten könne das Unternehmen die Echtheit hingegen nicht garantieren. Betroffene Kunden sollen sich für eine zusätzliche Überprüfung an den Support wenden.
Keystone warnt zudem vor Betrugsversuchen: “Wir werden dich nicht auffordern, dein Gerät zurückzusenden.” Entsprechende Rückrufaktionen seien als Betrugsversuche einzustufen.
Daten von knapp 26.000 Kunden betroffen
Keystone bestätigte zudem, dass die Angreifer möglicherweise 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 erbeutet haben. Weitere 12.873 Datensätze aus nicht abgeschlossenen Bestellungen könnten ebenfalls betroffen sein.
Ein fehlerhaftes Löschsystem hatte verhindert, dass bestimmte Kundendaten fristgerecht entfernt wurden. “Wir haben unsere Verpflichtung, Kundendaten rechtzeitig zu löschen, nicht erfüllt und übernehmen dafür die Verantwortung”, erklärte Keystone. Die Speicherfrist für persönliche Kundendaten wird deshalb von 180 auf 90 Tage verkürzt. Bis zum 3. November sollen überfällige Daten bei Shopify gelöscht werden.
Sicherheitsvorfälle bei Coldcard und Ledger
Der Vorfall bei Keystone reiht sich in eine Serie von Angriffen auf Hardware-Wallet-Hersteller ein. Im Juli 2026 wurde eine Schwachstelle in der Firmware von Coldcard bekannt, durch die Angreifer Seed Phrasen vorhersagen konnten. Schätzungen zufolge wurden dadurch zwischen 1.300 und 1.800 Bitcoin gestohlen. Und auch Ledger geriet jüngst ins Fadenkreuz, die Lieferketten des Herstellers wurden angegriffen.
Wie sich die BTC-ECHO Redaktion in der aktuellen Debatte um Self Custody positioniert, lest ihr hier: Ledger-Skandal: Ist Self-Custody zum Risiko geworden? Das sagt die BTC-ECHO-Redaktion.
