Was genau ist passiert?
Der Hardware-Wallet-Hersteller Keystone hat bekannt gegeben, dass ein Angreifer über eine Schwachstelle auf seiner Website Zugriff auf Daten erlangt hat. Laut dem Unternehmen wurden Lieferadressen und Bestelldetails von Kunden geleakt, berichten The Defiant und Cointelegraph.
Eine Hardware-Wallet ist ein physisches Gerät, das die privaten Schlüssel zu Kryptowährungen offline speichert, außerhalb der Reichweite des Internets. Genau deshalb sind die Kunden solcher Geräte oft Menschen, die größere Mengen an Kryptoassets halten, was die geleakten Lieferadressen zu einer sensiblen Liste macht.
Was wurde laut Keystone NICHT geleakt?
Das Unternehmen gibt an, dass der Einbruch die sensibelsten Daten nicht betroffen hat. Laut The Defiant wurden nicht offengelegt:
- Zahlungsdaten,
- Wiederherstellungsphrasen (Seed Phrase),
- private Schlüssel.
Eine Wiederherstellungsphrase ist eine Sequenz von Wörtern, mit der sich der Zugriff auf eine Wallet wiederherstellen lässt. Wäre sie geleakt worden, könnte ein Angreifer die Mittel direkt entwenden. Keystone behauptet zugleich, den Zugriff blockiert und die Schwachstelle behoben zu haben, schreibt The Defiant.
Warum ist das Leck von Lieferadressen auch ohne Schlüssel riskant?
Ein Sicherheitsforscher warnte laut Cointelegraph, dass auch die Lieferdaten allein missbraucht werden können. Die Kombination aus Namen, Adresse und der Information, dass die betreffende Person eine Hardware-Wallet besitzt, eröffnet zwei Hauptrisiken:
- Gezielter Betrug (Phishing). Angreifer können Opfer namentlich und mit glaubwürdigen Bestelldetails kontaktieren und versuchen, sie zur Preisgabe sensibler Daten zu bewegen.
- Physische Angriffe. Eine Liste von Personen, die wahrscheinlich Kryptoassets halten, zusammen mit ihrem Wohnort erhöht das Risiko von Raubüberfällen und Erpressung in der realen Welt.
Dies sind von der Quelle beschriebene Risiken, keine bestätigten Missbrauchsfälle. Ob es bereits zu einem Missbrauch der Daten gekommen ist, ist aus den verfügbaren Quellen nicht bekannt.
Hätten diese Daten längst gelöscht sein sollen?
Hier wird die Geschichte komplizierter. Laut The Block gibt Keystone an, dass es die Kundendaten in den meisten Fällen 180 Tage nach der Bestellung löscht. Kunden auf der Plattform X behaupten laut derselben Quelle jedoch, dass auch ihre älteren Daten in dem Leck auftauchten, und bezweifeln, ob das Unternehmen die Löschung tatsächlich durchgeführt hat.
Der Widerspruch ist bislang nicht unabhängig verifiziert. Wir wissen nicht, wie viele Kunden betroffen sind und wie alt die geleakten Daten genau sind. Das ist die zentrale offene Frage des gesamten Falls: Wenn das Unternehmen eine Löschung versprochen hat und die Daten dennoch existierten, handelt es sich um ein Versagen der eigenen Richtlinien, nicht nur um den Einbruch selbst.
Breiterer Kontext: Daten als Schwachstelle auch bei "kalten" Lösungen
Hardware-Wallets schützen die Schlüssel. Sie schützen jedoch nicht die Metadaten, die beim Kauf des Geräts entstehen: Name, Adresse, Bestellhistorie. Dieser Fall zeigt, dass die Angriffsfläche bei Krypto-Unternehmen nicht bei der Blockchain endet, sondern bereits bei der gewöhnlichen Web-Infrastruktur und dem Umgang mit personenbezogenen Daten beginnt.
Worauf bei dieser Art von Vorfall zu achten ist
Dies ist kein Ratschlag, was mit dem Vermögen zu tun ist, sondern eine Übersicht darüber, was bei ähnlichen Lecks relevant zu beobachten ist:
- die offizielle Kommunikation des Herstellers über den Umfang des Lecks und darüber, wer betroffen war,
- einen Anstieg von Phishing-Versuchen, die sich als Kommunikation des Herstellers oder Versandunternehmens ausgeben,
- unerwartete "Verifizierungs"-Aufforderungen zur Eingabe der Wiederherstellungsphrase (ein legitimer Hersteller fordert sie niemals an),
- eine mögliche nachträgliche Klarstellung, ob und wie lange die Daten tatsächlich aufbewahrt wurden.
Was bislang bestätigt ist und was nicht
Bestätigt ist, dass Keystone das Leck zugegeben und beschrieben hat, welche Daten betroffen waren und welche nicht. Unbestätigt bleiben der tatsächliche Umfang, die Zahl der betroffenen Kunden, das Alter der geleakten Daten und ob die Daten bereits missbraucht wurden. charliedesk wird verfolgen, ob Keystone genauere Zahlen veröffentlicht.