Ja, eine gefälschte Wallet kann jetzt als echt durchgehen – und genau deshalb vernichtet Keystone 18.835 Geräte, anstatt sie zu verkaufen. Der Angriff hat nicht direkt Kundengelder gestohlen. Gestohlen wurde der WebAuth-Schlüssel, den Keystone bereits im Werk in jedes Gerät einprogrammiert, um dessen Echtheit zu bestätigen. Einmal installiert, kann dieser Schlüssel weder gelöscht noch überschrieben werden. Wer eine Kopie davon besitzt, könnte gefälschte Keystone-Wallets herstellen, die Keystones eigene Online-Authentifizierungsprüfung bestehen würden. Ein Käufer würde ein gefälschtes Gerät anschließen, die Prüfung durchführen, sehen, dass es sie besteht, und davon ausgehen, dass es sicher ist. Keystones Hinweise sind entscheidend: Vor dem 20. Oktober ausgelieferte Geräte sind unbedenklich, wenn sie die Authentifizierung bestehen. Bei Geräten, die nach dem 20. Oktober eingegangen sind und noch den alten Schlüssel enthalten, kann Keystone jedoch nach eigenen Angaben nicht völlig ausschließen, dass es sich um eine Fälschung handelt – selbst wenn das Gerät die Prüfung besteht. Besitzer solcher Geräte müssen sich vor der Verwendung an den Keystone-Support wenden und eine zusätzliche Überprüfung durchführen lassen. Der Sicherheitsvorfall wurde durch eine Schwachstelle in einem Überwachungstool eines Drittanbieters im Shopify-Shop von Keystone ermöglicht. Dadurch wurden 25.964 Käuferdatensätze aus den Jahren 2024 bis 2026 offengelegt, darunter Namen, Kontaktdaten und Lieferadressen. Keystone räumte außerdem ein, dass sein automatisiertes Tool zur Datenlöschung unbemerkt ausgefallen war, sodass einige Datensätze länger als die zugesicherte Frist von 180 Tagen gespeichert blieben. Die Aufbewahrungsfrist wird auf 90 Tage verkürzt; Keystone rechnet damit, dass ausstehende Löschungen bis zum 3. November abgeschlossen sind.