Keystone hat Nutzer aufgefordert, seine Nexus App nach einem Cyberangriff, der einige Dienste der App beeinträchtigte, auf Version 1.3.7 zu aktualisieren.
Es ist die dritte Sicherheitsmitteilung des Hardware-Wallet-Herstellers innerhalb von etwa zwei Wochen.
Der Angriff auf die Nexus App und die Fehlerbehebung in Version 1.3.7
Keystone teilte am Freitag, dem 6. November, auf X mit, dass einige Dienste der Nexus App Opfer eines Cyberangriffs geworden seien und eine Reihe von Nutzern die App eine Zeit lang nicht verwenden konnten.
Das Unternehmen erklärte, das Team habe reagiert und die Serversicherheit verstärkt. Nach einer Untersuchung habe man „keine Hinweise darauf gefunden, dass Nutzerwerte oder persönliche Informationen betroffen waren“, schrieb das Unternehmen.
Keystone entschuldigte sich für die Unterbrechung und forderte Nutzer auf, ihre App auf Version 1.3.7 zu aktualisieren. Außerdem sollten Nutzer überprüfen, ob bei der App, die sie herunterladen, „Yanssie HK Limited“ als Entwickler angegeben ist. Jede andere App ohne diesen Entwickler stammt nicht von Keystone.
Ein Datenleck in einem Onlineshop, bei dem 25.964 Käuferdatensätze offengelegt wurden
Erstmals wurde der Vorfall bekannt, als Keystone einräumte, dass ein Eindringling Zugriff auf seinen von Shopify betriebenen Onlineshop erlangt hatte.
Am 20. Oktober wurde ein unbefugter Zugriff festgestellt. Das Unternehmen bestätigte am 23. Oktober, dass ein Dritter Kundendaten zu Lieferungen abgegriffen hatte, und machte den Vorfall am folgenden Tag öffentlich.
Die gestohlenen Datensätze enthielten Namen, Kontaktdaten, Lieferadressen und Bestellinformationen, etwa welche Geräte die Käufer erworben hatten.
Das Unternehmen erklärte, dass Zahlungskarten, Bankdaten, Wiederherstellungsphrasen und private Schlüssel nicht offengelegt wurden.
Berichten zufolge befanden sich unter den gestohlenen Datensätzen 25.964 Käuferdatensätze zu Käufen aus den Jahren 2024 bis 2026. Vorsorglich zählte das Unternehmen außerdem 12.873 unbezahlte Datensätze zu begonnenen, aber nicht abgeschlossenen Bestellungen.
Auch Privatadressen waren von dem Datenleck betroffen. Daraufhin wies die Sicherheitsforscherin Taylor Monahan darauf hin, dass dies Besitzer dem Risiko von „Schraubenschlüssel-Angriffen“ aussetzen könnte – physischer Gewalt, mit der Besitzer gezwungen werden sollen, ihre Kryptowährungen herauszugeben.
Die Krypto-Sicherheitsplattform Certik verzeichnete in der ersten Hälfte des Jahres 2026 52 solcher Angriffe. Im Vorjahr wurden nur 39 derartige Vorfälle registriert.
18.835 Wallets sollen vernichtet werden
Wenige Tage nach der Bekanntgabe des Diebstahls von Nutzerdaten geriet Keystone erneut in die Schlagzeilen. Das Unternehmen erklärte, derselbe Angreifer, der für den ersten Angriff verantwortlich war, habe auch den WebAuth-Schlüssel entwendet, mit dem die Geräte ihre Echtheit nachweisen.
Der Angreifer soll eine Schwachstelle in einem Überwachungstool eines Drittanbieters auf der Website ausgenutzt haben, um seine Berechtigungen auszuweiten. Anschließend griff er sowohl Kundendaten als auch den Schlüssel ab.
Das Hauptproblem ist, dass der Schlüssel bei der Herstellung in jedes Gerät eingebrannt wird und nicht überschrieben werden kann.
Jeder, der über den Schlüssel verfügt, könnte ein gefälschtes Gerät bauen, das Keystones eigene Echtheitsprüfung besteht. Keystone beschloss, alle 18.835 unverkauften Geräte mit dem kompromittierten Schlüssel zu verschrotten.
Das Unternehmen erklärte, dass eine Wallet, die vor dem 20. Oktober geliefert wurde und die Prüfung besteht, echt ist. Bei Geräten mit dem alten Schlüssel, die nach diesem Datum eingegangen sind, könne man „nicht vollständig ausschließen, dass es sich um eine Fälschung handelt“. Die Besitzer wurden aufgefordert, sich vor der Nutzung an den Support zu wenden.
Bislang wurden keine gefälschten Geräte oder Diebstähle gemeldet.
Nach einem fehlgeschlagenen Löschvorgang wurde die Aufbewahrungsfrist auf 90 Tage verkürzt
Keystone hatte damit geworben, Lieferdaten 180 Tage nach einer Bestellung zu löschen. Kunden berichteten jedoch, dass sie Benachrichtigungen über Datenlecks zu Käufen erhalten hatten, die mehr als zwei Jahre zurücklagen.
Das automatisierte Löschtool des Unternehmens versagte und ließ die alten Datensätze bestehen.
Daraufhin verkürzte Keystone die Aufbewahrungsfrist auf 90 Tage. Das Unternehmen bat Shopify außerdem, ältere personenbezogene Daten zu löschen. Die überfälligen Datensätze sollten bis zum 3. November entfernt sein.
Der Konkurrent OneKey begrenzte seine eigene Aufbewahrungsfrist nach dem Vorfall bei Keystone ebenfalls auf 30 Tage.
Viele Kryptoprojekte hatten 2026 mit Cyberangriffen zu kämpfen. Auch Hardware-Wallet-Anbieter blieben davon nicht verschont.
Im August waren bei einem Datenleck bei ShipMonk, einem Logistikpartner von Trezor, rund 81.000 Kunden betroffen.
SafePal legte aufgrund einer Schwachstelle in der Bestellverfolgung Daten von rund 39.798 Kunden offen. Ledger entdeckte zudem versteckte Chips in weiterverkauften Geräten, die On-Chain-Forscher mit Verlusten von mehr als 86 Millionen US-Dollar in Verbindung brachten.
Krypto-Nachrichten nicht nur lesen, sondern verstehen. Abonniere unseren Newsletter. Er ist kostenlos.