Datenleck auf der Keystone-Website legt Käuferdaten und den Schlüssel zur Geräteauthentifizierung offen

Keystone stellte am 20. Oktober 2026 einen unbefugten Zugriff auf seine offizielle Website fest. In seinem Update vom 26. Oktober erklärte das Unternehmen, der Angreifer habe eine Schwachstelle in einem Datenmonitoring-Tool eines Drittanbieters auf der Website genutzt, um seine Berechtigungen auszuweiten. 25.964 Käuferdatensätze aus den Jahren 2024–2026 enthielten noch personenbezogene Daten – Namen, Kontaktdaten, Lieferadressen und Bestelldetails –, hinzu kommen 12.873 Datensätze unbezahlter Bestellvorgänge. Keystone räumte ein, dass sein Versprechen, Versanddaten innerhalb von 180 Tagen zu löschen, nicht vollständig eingehalten worden war; inzwischen werden diese Daten höchstens 90 Tage aufbewahrt.

Der Angreifer erlangte außerdem den Schlüssel, mit dem Keystones Website prüft, ob ein Gerät echt ist. Der Schlüssel wird jedem Gerät im Werk eingeschrieben und kann nicht geändert werden, daher wird Keystone die 18.835 Geräte im Lager, die ihn tragen, verschrotten und neu hergestellten Geräten einen neuen Schlüssel geben. Laut Keystone wurden weder Wiederherstellungsphrasen noch private Schlüssel oder Zahlungsdaten offengelegt, und Besitzer werden wegen dieses Vorfalls nicht aufgefordert, ihr Guthaben zu übertragen.

Keystones Empfehlungen:

• Ein vor dem 20. Oktober 2026 ausgeliefertes Gerät, das die Echtheitsprüfung besteht, ist echt.
• Wenden Sie sich bei einem nach dem 20. Oktober erhaltenen Gerät mit dem alten Schlüssel vor der Nutzung an den Keystone-Support, um eine zusätzliche Überprüfung durchführen zu lassen: Keystone kann eine Fälschung selbst dann nicht vollständig ausschließen, wenn die Prüfung bestanden wird.
• Keystone wird niemanden auffordern, ein Gerät zurückzusenden. Behandeln Sie Nachrichten zu „Rückrufen“, Erstattungen, Migrationen oder Wallet-Verifizierungen als Betrug.