Der Hersteller von Hardware-Wallets für Kryptowährungen Keystone teilte mit, ein unautorisierter Zugriff auf seinen Online-Shop habe Namen, Kontaktdaten, Lieferadressen und Bestelldetails von Kunden offengelegt, wie aus einer Unternehmensmitteilung vom 24. Oktober hervorgeht.
Das Unternehmen habe den unautorisierten Zugriff auf seinen Shopify-basierten Shop am 20. Oktober entdeckt und am 23. Oktober bestätigt. Zahlungsdaten, Bankangaben, Recovery-Phrasen, private Schlüssel und Wallet-Passwörter seien laut Keystone nicht betroffen gewesen.
Keystone hatte öffentlich versprochen, Versanddaten von Kunden 180 Tage nach einer Bestellung zu löschen, und erklärt, anders als andere Wallet-Hersteller Kundendaten nicht unbegrenzt zu speichern. Betroffene Kunden widersprechen dem: Einer gab an, seine Wallet vor mehr als zwei Jahren gekauft zu haben, bei einem anderen lagen 214 Tage seit der letzten Bestellung, deutlich mehr als versprochen.
Keystone entschuldigte sich bei den Kunden. „Sie haben uns diese Daten anvertraut, und es tut uns leid, dass wir sie nicht geschützt haben“, erklärte das Unternehmen. Zudem warnte es Nutzer, ihre Recovery-Phrase oder privaten Schlüssel niemals an Dritte weiterzugeben.
Einige Kunden meldeten Betrugsversuche, bei denen sich Angreifer auf Details früherer Bestellungen bezogen. Die offengelegten Heimadressen von Besitzern von Hardware-Wallets wecken zudem Sorgen um deren physische Sicherheit, da sich aus den Adressen ableiten lässt, wer größere Krypto-Summen besitzt.
Keystone hat weder die Zahl der betroffenen Kunden noch die Vorgehensweise der Angreifer oder deren Identität offengelegt.
Ein ähnlicher Fall ereignete sich 2020 in der Branche, als ein Datenleck beim Keystone-Konkurrenten Ledger die Daten von rund 272.000 Kunden offenlegte; einige von ihnen erhielten später per Post gefälschte Briefe mit der Aufforderung, ihre Recovery-Phrase preiszugeben.
