Geöffneter Versandkarton mit einem Hardware-Wallet mit gesprungenem Display und herausquellenden Adressetiketten, im Hintergrund eine dunkle Gestalt mit Taschenlampe

Daten-GAU bei Keystone: Hacker erbeuten Adressen von Wallet-Käufern – und den Echtheits-Schlüssel

27. Oktober 2026

·

Ein Sicherheitsleck beim Wallet-Hersteller Keystone ist größer als zunächst gedacht. Am Montag räumte das Unternehmen ein, dass Angreifer nicht nur Namen und Lieferadressen von Kunden erbeutet haben, sondern auch einen Schlüssel, mit dem Keystone-Geräte als echt erkannt werden. Keystone stellt Hardware-Wallets her – kleine Geräte, die die Zugangsschlüssel zu Kryptowährungen offline aufbewahren und als besonders sichere Aufbewahrung gelten.

Vom Datenleck zum Echtheits-Problem

Keystone hatte den unbefugten Zugriff auf seinen Onlineshop nach eigenen Angaben am 20. Oktober bemerkt. Am Samstag entschuldigte sich das Unternehmen öffentlich auf X: Ein Dritter habe Versanddaten von Kunden abgegriffen, darunter Namen, Kontaktdaten, Lieferadressen und Bestelldetails. Zahlungsdaten, Seed-Phrasen – also die Wörterliste, mit der sich eine Wallet wiederherstellen lässt – und private Schlüssel seien nicht betroffen.

In einer neuen Stellungnahme vom Montag wird es ernster. Die Angreifer kamen über eine Schwachstelle in einem externen Überwachungstool der Website an erweiterte Zugriffsrechte. Dabei erbeuteten sie auch den sogenannten WebAuth-Schlüssel, mit dem Keystone die Echtheit seiner Geräte prüft. Damit könnten Kriminelle laut Keystone gefälschte Wallets bauen, die den Echtheits-Check bestehen. „Diese Geräte könnten dann verkauft oder an Kunden verschickt werden, die sie unwissentlich als echte Produkte nutzen, was möglicherweise zum Diebstahl von Vermögenswerten führt“, so das Unternehmen.

Weil der Schlüssel bei der Herstellung fest im Gerät verankert wird und sich nicht ändern lässt, will Keystone 18.835 Geräte aus dem Lager vernichten. Der Versand offener Bestellungen ist ausgesetzt, bis Geräte mit einem neuen Schlüssel produziert sind.

Daten, die längst gelöscht sein sollten

Betroffen sind laut Keystone 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 sowie 12.873 abgebrochene Bestellvorgänge mit Namen und Adressen. Brisant: Eigentlich hatte Keystone versprochen, Kundendaten nach 180 Tagen zu löschen. Das dafür eingesetzte Lösch-Tool habe aber nicht zuverlässig funktioniert, und das sei zu spät aufgefallen. „Wir haben unsere Zusage, Kundendaten rechtzeitig zu löschen, nicht eingehalten und übernehmen dafür die Verantwortung“, schreibt Keystone. Die Frist wurde inzwischen auf 90 Tage verkürzt.

Die Sicherheitsforscherin Taylor Monahan warnte laut Cointelegraph, dass geleakte Lieferadressen Krypto-Besitzer nicht nur für Betrug, sondern auch für Überfälle angreifbar machen. Solche sogenannten Wrench-Attacken, bei denen Täter Opfer mit Gewalt zur Herausgabe ihrer Coins zwingen, nehmen zu: Die Sicherheitsfirma CertiK zählte im ersten Halbjahr 2026 weltweit 52 Fälle, ein Drittel mehr als im Vorjahreszeitraum. Besonders betroffen ist Frankreich, wo die Behörden laut der Rechercheplattform OCCRP in diesem Jahr bereits 77 solcher Gewalttaten gegen Krypto-Besitzer registrierten. Erste Betrugsversuche gibt es offenbar schon: Ein Nutzer berichtete auf X von einem Anruf angeblicher Polizisten, die Daten aus seiner Keystone-Bestellung von 2024 kannten.

Was Keystone-Kunden und alle Wallet-Käufer jetzt tun sollten

Ruhe bewahren: Seed-Phrasen und private Schlüssel sind laut Keystone nicht betroffen. Das Unternehmen fordert Kunden nicht auf, ihre Coins allein wegen des Vorfalls umzuschichten.
Liefertermin prüfen: Geräte, die vor dem 20. Oktober geliefert wurden und den Echtheits-Check bestehen, gelten laut Keystone als sicher. Wer sein Gerät danach erhalten hat, sollte sich zur zusätzlichen Prüfung an den Keystone-Support wenden – auch wenn der Check erfolgreich war.
Vorsicht vor Lockangeboten: Angebliche Rückrufe, Rückerstattungen oder Ersatzgeräte per Mail, SMS oder Telefon sind ein typischer Betrugstrick. Nicht auf Links klicken und niemals die Seed-Phrase eingeben oder herausgeben – auch nicht an angebliche Polizisten.
Nur direkt beim Hersteller kaufen: Hardware-Wallets nicht gebraucht oder über Zwischenhändler kaufen und keine Geräte nutzen, die man nicht selbst bestellt hat.
Lieferadresse überdenken: Wer seine Wohnadresse nicht mit Krypto in Verbindung bringen will, kann eine Packstation oder Abholstelle nutzen.

Keystone ist kein Einzelfall: Auch Trezor, SafePal und zuletzt Foundation meldeten in diesem Jahr Datenlecks bei Kundendaten. Der Fall zeigt, dass die beste Hardware wenig nützt, wenn persönliche Daten in falsche Hände geraten.

Quellen

Disclaimer

Keine Anlageberatung: Dieser Beitrag dient ausschließlich der Information und ersetzt keine individuelle Finanzberatung. Kryptowährungen können erhebliche Verluste verursachen.