Der Gründer von OneKey, Yishi Wang, hat sich verpflichtet, Kundendaten innerhalb von 30 Tagen zu löschen, nachdem der Konkurrent und Hardware-Wallet-Hersteller Keystone nach einem Sicherheitsvorfall, bei dem fast 26.000 Käuferdatensätze offengelegt wurden, ein Scheitern seines 180-Tage-Löschsystems eingeräumt hatte.
Im Hilfecenter von Keystone wurde darauf hingewiesen, dass die endgültige Löschung von Nutzerdaten von Shopify vorgenommen wird. Diese Offenlegung legt eine Sicherheitslücke auf der Ebene von Shopify-Shops und Logistikunternehmen offen, die über die Kontrolle von Wallet-Herstellern wie OneKey und Keystone hinausgeht, trotz des 30-Tage-Versprechens des Erstgenannten
Warum OneKey seine Datenaufbewahrungsfrist verkürzt
OneKeys Yishi Wang bestätigte am Dienstag, dass der Hardware-Wallet-Hersteller nach den jüngsten Sicherheitsverletzungen und Angriffen auf die Lieferkette, durch die Sicherheitslücken in der Branche offengelegt wurden, in der er tätig ist, sein eigenes Sicherheitssystem überprüft.
Wang betonte, dass es sich um eine Vorsichtsmaßnahme handelt, und schrieb: „OneKey hat KEINEN Sicherheitsvorfall erlebt.“ Die Entscheidung, die Datenaufbewahrung auf 30 Tage zu begrenzen, ist vielmehr eine direkte Reaktion darauf, was anderswo schiefgelaufen ist.
Der Grund für die kürzere Aufbewahrungsfrist ist, dass die Menge an Kundendaten, die bei einem Sicherheitsvorfall offengelegt werden kann, umso größer ist, je länger ein Anbieter Kundendaten speichert.
Was hat den Sicherheitsvorfall bei Keystone verursacht?
Keystone teilte mit, dass das System, das Kundendaten nach Ablauf der 180-tägigen Aufbewahrungsfrist automatisch löscht, ausgefallen war, ohne dass Warnsignale ausgelöst wurden. „Wir haben es versäumt, unsere Zusage einzuhalten, Kundendaten rechtzeitig zu löschen, und übernehmen die Verantwortung für dieses Versäumnis“, erklärte das Unternehmen.
Bei der Überprüfung von 51.083 Shopify-Käuferdatensätzen stellte Keystone fest, dass in 25.964 Datensätzen noch personenbezogene Daten wie Namen, Lieferadressen, Kontaktdaten und Kaufhistorien enthalten waren. Offenbar waren Daten aus dem Jahr 2024 noch immer gespeichert – weit über die 180-Tage-Grenze hinaus, auf die das Unternehmen hingewiesen hatte, nachdem Ledger-Kunden im Januar 2026 von einem Datenleck beim E-Commerce-Partner Global-e erfahren hatten.
Ermittler fanden sensible Angaben in weiteren 12.873 unbezahlten Checkout-Datensätzen.
Als Reaktion darauf hat Keystone die Aufbewahrungsfrist nun auf 90 Tage verkürzt.
Keystone gab am 26. Oktober außerdem bekannt, dass Angreifer auch den WebAuth-Schlüssel entwendet hatten, mit dem die Geräte ihre Echtheit nachweisen. Der Einbruch ging auf eine Schwachstelle in einem Überwachungstool eines Drittanbieters zurück, durch die die Eindringlinge ihre Zugriffsrechte erweitern konnten. Keystone bemerkte die Aktivitäten erstmals am 20. Oktober.
Da der Schlüssel bei der Herstellung fest in jedes Gerät eingebrannt wird und nicht überschrieben werden kann, plant Keystone, alle 18.835 Geräte im Lagerbestand, die diesen Schlüssel enthalten, zu vernichten. Neue Wallets erhalten einen Ersatzschlüssel.
Das Unternehmen hat den Versand noch ausstehender Website-Bestellungen gestoppt und auf Vorbestellungen umgestellt.
Löschversprechen sind nur so verlässlich wie die Partner, die die Daten verwahren
Bemerkenswert ist, dass nicht nur Hersteller von Hardware-Wallets Kundendaten speichern. Auch E-Commerce-Plattformen und Versandpartner verarbeiten Namen, Adressen und Bestellhistorien von Kunden. Genau auf dieser Ebene kam es zu den meisten jüngsten Sicherheitsvorfällen.
Das Datenleck bei Trezor betraf 81.000 Kunden, nachdem der Versandpartner ShipMonk Datensätze trotz wiederholter schriftlicher Zusicherungen nicht gelöscht hatte. SafePal legte durch eine Schwachstelle in der Sendungsverfolgung Daten von rund 39.798 Kunden offen und hat die Aufbewahrungsfrist inzwischen auf 90 Tage verkürzt. Ledger bestätigte, dass in weiterverkauften Geräten von CryptoBilis Chips versteckt waren, die Wiederherstellungsphrasen erfassten. Cryptopolitan schätzte die Verluste unter Berufung auf On-Chain-Forscher auf mehr als 86 Millionen US-Dollar.
Wenn du das hier liest, bist du bereits einen Schritt voraus. Bleib es mit unserem Newsletter.