Keystone 3 Pro vs Trezor Model One

Keystone stellte am 20. Oktober 2026 einen unbefugten Zugriff auf seine offizielle Website fest. In seinem Update vom 26. Oktober erklärte das Unternehmen, der Angreifer habe eine Schwachstelle in einem Datenmonitoring-Tool eines Drittanbieters genutzt, um sich erweiterte Rechte zu verschaffen. 25.964 Käuferdatensätze aus den Jahren 2024–2026 enthielten noch personenbezogene Daten – Namen, Kontaktdaten, Lieferadressen und Bestelldetails –, hinzu kommen 12.873 Datensätze nicht bezahlter Bestellungen. Keystone räumte ein, sein Versprechen, Versanddaten innerhalb von 180 Tagen zu löschen, nicht vollständig eingehalten zu haben, und hat die Aufbewahrungsfrist auf 90 Tage verkürzt.

Der Angreifer erbeutete außerdem den Schlüssel, mit dem die Keystone-Website prüft, ob ein Gerät echt ist. Der Schlüssel wird bei der Herstellung in jedes Gerät geschrieben und lässt sich nicht ändern. Keystone vernichtet deshalb die 18.835 Geräte auf Lager, die ihn tragen, und gibt neu gefertigten Geräten einen neuen Schlüssel. Bestellungen über die Website ruhen, bis diese Geräte bereit sind. Laut Keystone wurden Wiederherstellungsphrasen, private Schlüssel und Zahlungsdaten nicht offengelegt; Besitzer müssen wegen dieses Vorfalls keine Guthaben übertragen.

Empfehlung von Keystone:

• Ein vor dem 20. Oktober 2026 geliefertes Gerät, das die Echtheitsprüfung besteht, ist echt.
• Bei einem nach dem 20. Oktober erhaltenen Gerät mit dem alten Schlüssel kann Keystone eine Fälschung nicht völlig ausschließen, selbst wenn die Prüfung besteht: Wenden Sie sich vor der Nutzung an den Keystone-Support zur zusätzlichen Prüfung.
• Keystone fordert niemanden auf, ein Gerät zurückzuschicken. Behandeln Sie Nachrichten zu „Rückrufen“, Erstattungen, Migrationen oder Wallet-Prüfungen als Betrug und geben Sie niemals eine Wiederherstellungsphrase in ein Gerät ein, das Sie nicht selbst bestellt haben.

Der Vorfall betrifft Kundendaten und die Online-Echtheitsprüfung, nicht die Art, wie das Gerät Schlüssel erzeugt oder schützt, und ändert daher unsere Bewertungen nicht.

Am 28. Oktober 2026 erhielt Trezor die Meldung eines Käufers aus Indonesien über eine zusätzliche Platine in einem Trezor Safe 5, der im August 2026 bei CryptoBilis gekauft wurde – demselben Händler in Südostasien, über den Ledger-Geräte mit Hardware-Implantaten verkauft wurden. Laut der Meldung sitzt die Platine zwischen Hauptplatine und Display, liest den Bildschirminhalt einschließlich der Wiederherstellungsphrase aus und sendet ihn über ein Mobilfunknetz. Trezor hat das Gerät noch nicht untersucht, hält die Meldung für glaubwürdig und lässt es in sein Labor schicken.

Laut Trezor gibt es keine Meldungen zu anderen Händlern und keine Hinweise darauf, dass Kunden Guthaben verloren haben; die meldende Person hatte ihre Mittel bereits übertragen. Trezor hat CryptoBilis am 9. Oktober 2026 von der Liste der autorisierten Händler gestrichen.

Die Empfehlung von Trezor gilt für jedes Trezor-Modell, das ab März 2026 bei CryptoBilis gekauft wurde:

• Ist das Gerät noch nicht eingerichtet: nicht einrichten und niemals eine bestehende Wiederherstellungsphrase darauf eingeben.
• Wird es bereits genutzt: Guthaben so schnell wie möglich in eine neue Wallet mit neu erzeugter Wiederherstellungsphrase übertragen. Die alte Phrase auf einem anderen Gerät wiederherzustellen, hilft nicht.
• Gerät behalten und den Trezor-Support kontaktieren: Betroffene erhalten ein neues Gerät oder einen Gutschein. Nicht öffnen; Wiegen ist laut Trezor kein zuverlässiger Test.

Die Meldung betrifft den Weg eines Geräts zum Käufer, nicht die Konstruktion der Geräte, und ändert daher unsere Bewertungen nicht. Wir aktualisieren diesen Hinweis, sobald Trezor das Ergebnis seiner Untersuchung veröffentlicht.