Wer sich eine Hardware-Wallet kauft, will seine Bitcoin dem Zugriff von Banken, Börsen und Hackern entziehen. Beim Hersteller Keystone hat genau dieser Kauf nun Spuren hinterlassen, die in die Hände von Kriminellen gefallen sind. Wie das Unternehmen in einer ausführlichen Stellungnahme auf X einräumt, haben Angreifer Namen, Kontaktdaten und Lieferadressen aus Zehntausenden Bestellungen abgegriffen und zusätzlich den Schlüssel erbeutet, mit dem Keystone-Geräte ihre Echtheit nachweisen. Darüber berichteten unter anderem Cointelegraph, Bitcoin.com News, The Crypto Times und die Coinzeitung.

Der Einbruch begann nach Keystones Darstellung am 20. Oktober. Die Täter nutzten eine Schwachstelle in einem externen Überwachungswerkzeug der Firmenwebsite und verschafften sich darüber erweiterte Rechte. Am 24. Oktober folgte eine erste Entschuldigung, damals noch ohne Zahlen. Erst zwei Tage später legte das Unternehmen offen, wie groß der Schaden tatsächlich ist. Laut Keystone geht es um 25.964 Käuferdatensätze aus dem Shopify-Shop der offiziellen Website aus den Jahren 2024 bis 2026. Das sind Bestellungen, nicht zwingend ebenso viele Personen, denn manche Kunden dürften mehrfach bestellt haben. Hinzu kommen 12.873 abgebrochene Bestellvorgänge, in denen ebenfalls Namen, Kontaktdaten und Adressen hinterlegt waren. Käufe über Amazon und andere Händler sind nach Firmenangaben nicht betroffen.

Pikant ist, warum so viele Daten überhaupt noch vorhanden waren. Keystone hatte seinen Kunden versprochen, persönliche Angaben nach 180 Tagen zu löschen. Das dafür gebaute automatische Löschwerkzeug arbeitete jedoch nicht zuverlässig, fehlgeschlagene Löschaufträge fielen niemandem auf. „Wir haben unsere Zusage, Kundendaten rechtzeitig zu löschen, nicht eingehalten, und wir übernehmen die Verantwortung dafür“, schreibt das Unternehmen (eigene Übersetzung). Die Frist wurde inzwischen auf 90 Tage verkürzt, die Löschung der überfälligen Datensätze soll am 3. November abgeschlossen sein. Für die Betroffenen kommt das zu spät.

Noch heikler ist der zweite Teil der Beute. Mit dem sogenannten WebAuth-Schlüssel prüft Keystone, ob ein Gerät echt ist. Wer ihn besitzt, könnte nach Angaben des Herstellers gefälschte Wallets bauen, die diese Prüfung bestehen. „Diese Geräte könnten dann verkauft oder an Kunden verschickt werden, die sie unwissentlich als echte Produkte nutzen, was möglicherweise zum Diebstahl von Vermögenswerten führt“, warnt Keystone laut Cointelegraph (eigene Übersetzung). Weil der Schlüssel bei der Herstellung fest eingeschrieben wird, lassen sich die betroffenen Geräte nicht nachbessern. 18.835 Wallets aus dem Lager sollen deshalb vernichtet werden, der Versand offener Bestellungen ruht, bis Geräte mit neuem Schlüssel gefertigt sind. Dass bereits gefälschte Geräte mit dem gestohlenen Schlüssel aufgetaucht seien, hat Keystone nach Angaben von The Crypto Times nicht mitgeteilt.

Keystone betont, dass Seed-Phrasen, private Schlüssel, Zahlungsdaten und Ausweisnummern nicht betroffen seien. Das ist für die Sicherheit der Coins entscheidend und sollte nicht kleingeredet werden. Es ist aber auch die Aussage eines Unternehmens, das seine eigenen Löschversprechen nicht einhalten konnte und den vollen Umfang erst Tage später nachreichte. Kunden tun gut daran, diese Einordnung als das zu nehmen, was sie ist: eine Darstellung in eigener Sache, die sich erst noch bewähren muss.

Die eigentliche Gefahr liegt ohnehin weniger im Netz als vor der Haustür. Die Sicherheitsforscherin Taylor Monahan warnte laut Cointelegraph, geleakte Lieferadressen machten Krypto-Besitzer nicht nur für Betrug, sondern auch für Überfälle und Entführungen angreifbar. Die Sicherheitsfirma CertiK zählte im ersten Halbjahr 2026 weltweit 52 bestätigte sogenannte Wrench-Attacken, bei denen Opfer mit Gewalt zur Herausgabe ihrer Coins gezwungen werden. Das sind ein Drittel mehr als im Vorjahreszeitraum. In Frankreich registrierte die Staatsanwaltschaft für organisierte Kriminalität nach einem Bericht der Rechercheplattform OCCRP allein in diesem Jahr 77 solcher Gewalttaten, nach 67 im gesamten Vorjahr. Als wichtigste Quelle der Täter nennen die Ermittler ausdrücklich Datenlecks.

Dass die Daten bereits genutzt werden, legt ein Fall nahe, den Cointelegraph schildert. Ein Nutzer berichtete auf X von einem Anruf angeblicher Polizisten, die Details seiner Keystone-Bestellung aus dem Jahr 2024 kannten. Er vermutet, die Anrufer wollten ihm einreden, seine Schlüssel seien kompromittiert, um ihm dann einen Phishing-Link unterzuschieben.

Keystone ist dabei nur der jüngste Fall in einer langen Reihe. F-NEWS berichtete im August über das Trezor-Datenleck, bei dem Namen und Wohnadressen von Wallet-Kunden offengelegt wurden, auch SafePal, BitBox und zuletzt Foundation meldeten Probleme mit Kundendaten oder externen Dienstleistern. Schon 2020 hatte ein Leck bei Ledger mehr als eine Million E-Mail-Adressen samt Anschriften offengelegt, die Betroffenen werden bis heute mit Phishing überzogen. Das Muster ist immer dasselbe: Nicht die Wallet versagt, sondern die Datensammlung rund um ihren Verkauf.

Genau hier liegt die Lehre, die weit über Keystone hinausgeht. Jede gespeicherte Adresse ist ein Risiko, und jede Pflicht zur Datensammlung vervielfacht es. Was bei einem Wallet-Shop nach einem halben Jahr gelöscht sein sollte, liegt bei Banken und Kryptobörsen dank KYC-Vorgaben oft jahrelang auf Vorrat, inklusive Ausweiskopie und Selfie. Wie leicht solche Bestände in falsche Hände geraten, zeigte der Fall, in dem Revolut nach einer gefälschten Behördenanfrage KYC- und Bitcoin-Daten an Unbekannte herausgab. Wer seine Coins dagegen bei einer Bank lässt, die wie die Sparkassen die Bitcoin-Schlüssel selbst behält, tauscht das Datenrisiko nicht ein, sondern legt das Verlustrisiko obendrauf.

Selbstverwahrung bleibt deshalb der richtige Weg, sie verlangt aber mehr als ein gutes Gerät. Wer eine Hardware-Wallet besitzt, sollte unerwartete Anrufe, Mails oder Briefe mit angeblichen Rückrufaktionen, Erstattungen oder Ersatzgeräten grundsätzlich als Betrug behandeln. Keystone selbst stellt klar, keine Geräte zurückzufordern und niemals nach der Seed-Phrase zu fragen. Eine Seed-Phrase gehört in kein Gerät, das man nicht selbst bestellt hat. Wer sein Keystone-Gerät nach dem 20. Oktober erhalten hat, soll sich laut Hersteller auch bei bestandener Echtheitsprüfung beim Support melden. Unsere Empfehlung über die Herstellerhinweise hinaus: Wallets nur direkt beim Hersteller kaufen, nie gebraucht, und die Lieferung an eine Packstation oder Abholstelle statt an die Wohnadresse schicken lassen. Wer im Netz zudem nicht offen über seine Bestände spricht, macht es Tätern deutlich schwerer.

Quellen:

• Keystone auf X: Stellungnahme zum Sicherheitsvorfall (26.10.2026)
• Keystone auf X: Entschuldigung an die Kunden (24.10.2026)
• Cointelegraph: Keystone breach deepens
• Cointelegraph: Keystone says website breach exposed buyers’ addresses
• Bitcoin.com News: Keystone Breach Deepens
• The Crypto Times: Keystone Reports Data Breach
• OCCRP: Kidnappings and Home Invasions Soar as French Syndicates Extort Crypto
• Coinzeitung: Daten-GAU bei Keystone