Keystone, Hersteller von Hardware-Wallets, hat am 24. Oktober 2026 einen Einbruch in seinen Onlineshop bekannt gemacht und am 26. Oktober den Diebstahl des Schlüssels, mit dem sich seine Geräte authentifizieren. Laut dem Unternehmen sind die Daten von 25'964 Käuferinnen und Käufern abgeflossen. Die Gelder der Kundschaft sind nicht gefährdet, doch 18'835 Geräte an Lager werden verschrottet.
Was ist bei Keystone passiert?
Keystone hat am 20. Oktober 2026 einen unbefugten Zugriff auf seine offizielle Website festgestellt. Laut Journal du Coin gelangte der Angreifer über eine Schwachstelle in einem Datentracking-Tool eines Drittanbieters in den Shop, das dort installiert war. Dieser Einstiegspunkt verschaffte ihm weit grössere Rechte als vorgesehen.
Das Unternehmen überprüfte mit Shopify die Aufrufe seiner Programmierschnittstelle (API). Am 23. Oktober bestätigte es, dass eine Drittperson Lieferinformationen erlangt hatte. Es sperrte den Zugang, schloss die Lücke und leitete eine Untersuchung ein.
Zwei Mitteilungen folgten. Jene vom 24. Oktober, veröffentlicht auf X, betrifft die Kundendaten und enthält eine Entschuldigung. Jene vom 26. Oktober fügt ein heikleres Element hinzu: Der WebAuth-Schlüssel, der die Echtheit der Geräte belegt, gehört zu den erbeuteten Elementen.
Welche Kundendaten sind abgeflossen?
Laut Keystone hat der Angreifer 25'964 Käuferdatensätze und 12'873 abgebrochene Warenkörbe aus den Jahren 2024 bis 2026 erlangt. Diese Dateien enthalten Namen, Kontaktangaben, Lieferadressen und Bestelldetails. Verkäufe über Amazon und andere Kanäle sind nicht betroffen.
Die Aufbewahrungsdauer wirft Fragen auf. Keystone versichert, diese Daten nach 180 Tagen zu löschen, doch sein Tool zur automatischen Löschung funktionierte fehlerhaft, ohne dass das Team es bemerkte. Die Frist beträgt nun 90 Tage. Die bei Shopify eingereichten Löschanträge sollen am 3. November 2026 abgeschlossen sein.
| Element | Laut Keystone betroffen? |
|---|---|
| Namen, Kontaktangaben, Lieferadressen | Ja |
| Bestelldetails | Ja |
| WebAuth-Schlüssel zur Geräteauthentifizierung | Ja |
| Wiederherstellungsphrasen und private Schlüssel | Nein |
| Bankdaten | Nein |
| Wallet-Passwörter | Nein |
Wozu dient der Authentifizierungsschlüssel eines Hardware-Wallets?
Der WebAuth-Schlüssel dient einzig dazu, zu prüfen, ob ein Keystone-Gerät echt ist. Er wird bei der Herstellung eingebrannt und kann danach nicht mehr geändert werden. Bei Transaktionen spielt er nie eine Rolle.
Die Prüfung erfolgt auf der Seite keyst.one/authentication. Laut Keystone scannt die Nutzerin oder der Nutzer mit dem Gerät einen QR-Code, gibt den angezeigten Code ein und erhält das Ergebnis innert ein bis zwei Minuten. Dieser Test richtet sich gegen Angriffe auf die Lieferkette, bei denen ein Gerät zwischen Fabrik und Lieferung manipuliert wird.
Der Diebstahl des Schlüssels schwächt genau diese Schutzvorkehrung. Wie Journal du Coin erklärt, kann ein Fälscher, der ihn besitzt, denselben Chip in einen Klon einbrennen. Das gefälschte Gerät würde dann die Prüfung auf der Website bestehen, ohne dass die Käuferin oder der Käufer etwas ahnen könnte.
Keystone hat deshalb seine Lagerbestände eingefroren. Die 18'835 Geräte mit dem alten Schlüssel werden zerstört. Der Versand über die Website ist ausgesetzt, und die Verkäufe laufen als Vorbestellungen, bis Geräte mit einem neuen Schlüssel produziert sind.
Ist mein Krypto-Wallet in Gefahr?
Laut Keystone nicht. Das Unternehmen schliesst Wiederherstellungsphrasen, private Schlüssel, Bankdaten und Wallet-Passwörter von den zugänglichen Elementen aus. Niemand muss seine Gelder verschieben.
Geräte, die vor dem 20. Oktober 2026 geliefert wurden und die Authentifizierungsprüfung bestehen, bleiben laut Hersteller sicher. Seine Prüfseite erinnert daran, dass die privaten Schlüssel das Gerät nie verlassen und dass der Test keine sensiblen Daten preisgibt.
Was ist zu tun, wenn man ein Keystone besitzt?
- Gerät vor dem 20. Oktober 2026 geliefert: die Prüfung auf der offiziellen Website starten. Besteht es sie, betrachtet Keystone es als sicher.
- Paket nach dem 20. Oktober mit dem alten Schlüssel eingetroffen: Keystone kann eine Fälschung «nicht vollständig ausschliessen». Vor jeder Nutzung muss man sich an den Support wenden.
- Prüfung fehlgeschlagen: das Gerät nicht mehr verwenden, keinesfalls die Wiederherstellungsphrase darauf eingeben, einen Screenshot des Ergebnisses aufbewahren und an support@keyst.one schreiben.
- Aufforderung zu einem «Rückruf»: Keystone ruft keine Geräte zurück. Jede Nachricht, die Ihr Gerät zurückverlangt, ist ein Betrug.
Die Grundregel der Krypto-Sicherheit ändert sich nicht. Beim gefälschten Ledger-Update fasste die Firma SlowMist sie so zusammen: die Wiederherstellungsphrase nie und nirgends eingeben.
Warum gestohlene Adressen trotzdem zählen
Unsere Analyse: Ein Name, eine Adresse und die Details einer Bestellung genügen, um eine betrügerische Nachricht glaubwürdig zu machen. Der Betrüger kann einen echten Kauf anführen, was das Misstrauen der Kundschaft entwaffnet.
Der Präzedenzfall liegt nicht lange zurück. Im Oktober 2026, nach der Affäre um die manipulierten Ledger-Geräte, die in Südostasien verkauft wurden, versprach eine mit «The Ledger Team» unterzeichnete E-Mail ein Firmware-Update und verlangte die 24 Wörter. Die Betrüger setzten auf die Verunsicherung der Besitzerinnen und Besitzer, wie sie es auch bei der Kundschaft von Keystone tun könnten.
Journal du Coin bringt es auf den Punkt: Ein Wallet bleibt sicher, solange sein privater Schlüssel unangetastet bleibt. Das schwache Glied ist alles, was es umgibt, vom Shop bis zum Paket.
Und für die Kundschaft in der Schweiz?
Keystone nennt keine Aufteilung der betroffenen Kundschaft nach Ländern. Die Zahl der Käuferinnen und Käufer mit Wohnsitz in der Schweiz bleibt daher unbekannt. Trotz des Namens hat das Unternehmen keine Verbindung zur Schweizer Nachrichtenagentur Keystone-SDA.
Der Vorfall passt zu einem Trend, den der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) genau verfolgt. Er hat seit Anfang 2026 455 Meldungen von Datenschutzverletzungen in der Schweiz erhalten, gegenüber 343 im gesamten Jahr 2025. Ihm zufolge erhöht die Vernetzung von Daten das Risiko von Verletzungen. Unsere Analyse: Der Fall Keystone veranschaulicht dies, denn der Angriff erfolgte über ein Drittanbieter-Tool, das an den Shop angebunden war.
Was noch nicht bekannt ist
- Der Name des Datentracking-Tools des Drittanbieters, über das der Angreifer eindrang.
- Wie der WebAuth-Schlüssel bei einem Einbruch in die Website erbeutet werden konnte.
- Ob bereits Klone mit dem gestohlenen Schlüssel im Umlauf sind.
- Wann der Versand mit Geräten mit dem neuen Schlüssel wieder aufgenommen wird.
- Die Zahl der betroffenen Kundinnen und Kunden in der Schweiz.
