Sicherheitsverstoß bei Keystone verschärft sich: Hacker stahlen Schlüssel zur Authentifizierung echter Wallets

Der Hardware-Wallet-Hersteller Keystone bestätigte, dass ein Angreifer, der letzte Woche seine Website kompromittierte, auch einen Schlüssel zur Überprüfung der Echtheit seiner Geräte erbeutete – dadurch erweiterte sich der Umfang des zunächst als Kundendaten-Leak gemeldeten Vorfalls.

In einer Erklärung am Montag warnte Keystone, dass der gestohlene Authentifizierungsschlüssel Angreifern die Herstellung gefälschter Wallets ermöglichen könnte, die dessen Echtheitsprüfungen bestehen.

„Diese Geräte könnten dann an Kunden verkauft oder versandt werden, die sie unwissentlich als Originalprodukte nutzen – mit potenziellem Verlust ihrer Vermögenswerte“, so Keystone.

Dieser Vorfall ist Teil einer Reihe von Angriffen auf Hardware-Wallet-Hersteller in diesem Jahr.

Anfang dieses Monats bat Ledger Wiederverkäufer in Südostasien und Hongkong, den Verkauf einzustellen, nachdem Berichte über unautorisierte Manipulationen in Geräten aus dieser Region aufkamen – diese konnten Wiederherstellungsphrasen abgreifen.

Ende Juli warnte Coinkite, Hersteller von Coldcard, nach einem Bug, durch den Geräte Seed-Phrasen mit zu geringer Entropie generierten – dies führte zum Diebstahl mehrerer Millionen Dollar an Kryptowährung.

Keystone vernichtet über 18.000 Geräte mit altem Schlüssel

In seinem jüngsten Update erklärte Keystone, der Angreifer habe eine Schwachstelle in einem externen Monitoring-Tool der Website ausgenutzt, um seine Berechtigungen zu erweitern.

„Dadurch erlangte der Angreifer Zugriff auf Kundendaten sowie auf einen Schlüssel zur Überprüfung der Echtheit unserer Geräte.“

Keystone plant, 18.835 Geräte aus seinem Lagerbestand mit dem kompromittierten Schlüssel zu vernichten und hat alle Auslieferungen von Geräten mit diesem Schlüssel vorläufig eingestellt.

Die Auslieferungen sollen wieder aufgenommen werden, sobald die Produktion von Geräten mit neuem Authentifizierungsschlüssel beginnt.

Keystone erklärte, vor dem Vorfall vom 20. Oktober hergestellte und ausgelieferte Geräte seien sicher und ihre Echtheitsprüfungen weiterhin vertrauenswürdig.

Geräte, die nach diesem Datum ausgeliefert wurden, können jedoch nicht als authentisch garantiert werden; betroffene Kunden werden gebeten, den Support zu kontaktieren, um zusätzliche Verifizierung vorzunehmen.

Keystone bestätigt Leak von 25.964 Käuferdatensätzen

Keystone enthüllte zudem das Ausmaß des Kundendaten-Leaks: Der Shopify-Shop der Website hatte insgesamt 51.083 Käuferdatensätze generiert.

Davon waren 25.119 gemäß der 180-Tage-Datenspeicherungsrichtlinie bereits gelöscht.

Die verbleibenden 25.964 Datensätze aus den Jahren 2024 bis 2026 könnten vom Angreifer gestohlen worden sein. Keystone erklärte, die älteren Einträge seien aufgrund eines Fehlers in seinem automatisierten Tool zur Massenlöschung von Daten nicht gelöscht worden.

„Das Tool funktionierte nicht zuverlässig: Einige Löschvorgänge scheiterten, und wir erkannten und behoben diese Fehler nicht rechtzeitig, wodurch bestimmte personenbezogene Daten über den zulässigen Zeitraum hinaus gespeichert blieben“, erklärte Keystone.

Zudem könnte der Angreifer möglicherweise auch Zugriff auf 12.873 Kunden-Kassen-Datensätze erhalten haben, die von Shopify gespeichert wurden – Informationen zu unvollständigen Käufen.

Keystone erklärte, es habe sich an Shopify gewandt, um die Löschung personenbezogener Daten in Kassen-Datensätzen zu beantragen, die länger als 30 Tage gespeichert wurden.

Der Vorfall erinnert an eine Datenschutzverletzung bei Ledger im Juni 2020, bei der über eine Million E-Mail-Adressen sowie Kundennamen, Telefonnummern und Postadressen offengelegt wurden. Die geleakten Daten führten jahrelang zu gezielten Phishing-Angriffen auf betroffene Nutzer.

Auch andere Hersteller von Hardware-Wallets waren dieses Jahr von Datenschutzverletzungen betroffen, die Kundendaten und externe Dienste betrafen.

Im August enthüllte Trezor eine Sicherheitslücke beim Versandpartner, die Kundendaten preisgab; die Zahl der betroffenen Nutzer stieg im September auf über 80.000.

SafePal meldete im August eine Schwachstelle bei der Bestellverfolgung, durch die Daten von fast 40.000 Kunden offengelegt wurden; BitBox war im September Ziel einer Phishing-Kampagne mit einem kompromittierten externen E-Mail-Anbieter.

Magazin: 5 Alternativen zu Ledger zur Bitcoin-Speicherung