Ya, dompet palsu kini bisa lolos sebagai dompet asli, dan itulah alasan Keystone memusnahkan 18.835 perangkat alih-alih menjualnya. Serangan ini tidak mencuri dana pengguna secara langsung. Serangan tersebut mencuri kunci WebAuth yang dipasang Keystone di setiap perangkat di pabrik untuk membuktikan keasliannya. Kunci itu tidak dapat dihapus atau ditulis ulang setelah dipasang. Siapa pun yang memiliki salinannya dapat membuat dompet Keystone palsu yang akan lolos pemeriksaan verifikasi online Keystone sendiri. Pembeli akan menyambungkan perangkat palsu, menjalankan pemeriksaan, melihat bahwa perangkat itu lolos, lalu menganggapnya aman. Panduan dari Keystone adalah bagian yang paling penting. Perangkat yang dikirim sebelum 20 Oktober aman jika lolos autentikasi. Namun, untuk perangkat yang diterima setelah 20 Oktober dan masih menggunakan kunci lama, Keystone menyatakan bahwa kemungkinan perangkat tersebut palsu tidak dapat sepenuhnya dikesampingkan, bahkan jika pemeriksaan menyatakan perangkat itu lolos. Pemilik perangkat tersebut harus menghubungi dukungan Keystone untuk verifikasi tambahan sebelum menggunakannya. Kebocoran itu sendiri terjadi melalui kerentanan pada alat pemantauan pihak ketiga di toko Shopify milik Keystone. Kerentanan tersebut mengekspos 25.964 catatan pembeli dari 2024 hingga 2026, termasuk nama, informasi kontak, dan alamat pengiriman. Keystone juga mengakui bahwa alat penghapusan data otomatisnya diam-diam tidak berfungsi, sehingga beberapa catatan disimpan melewati batas 180 hari yang dijanjikan. Keystone memangkas masa penyimpanan menjadi 90 hari dan memperkirakan penghapusan data yang tertunda akan selesai pada 3 November.