Hacker erbeuten Adressen von Keystone-Käufern aus dem Shopify-Shop

Der Hersteller von Hardware-Wallets, Keystone, gab an, dass ein Eindringling in seinen über Shopify betriebenen Online-Shop eingebrochen ist und Kundennamen, Kontaktdaten, Lieferadressen sowie Bestellunterlagen mitgenommen hat, jedoch keine Zahlungsdaten, Wiederherstellungsphrasen oder privaten Schlüssel.

Verletzung entdeckt am 20, bestätigt am 23

Das in Hongkong ansässige Unternehmen entschuldigte sich am Samstag, dem 24. Oktober, auf X und erklärte, dass am 20. Oktober unbefugter Zugriff auf seine offizielle Website festgestellt wurde. Nach Prüfung der API-Aktivitäten mit Shopify bestätigte das Unternehmen am 23. Oktober, dass eine dritte Partei Kunden-Lieferdaten erhalten hatte.

„Sie haben uns mit diesen Daten vertraut, und es tut uns leid, dass wir sie nicht sicher aufbewahrt haben“, schrieb Keystone.

Die gestohlenen Aufzeichnungen umfassen Namen, Kontaktdaten, Adressen und Bestellinformationen wie gekaufte Artikel und deren Kosten. Wiederherstellungsphrasen, private Schlüssel, Wallet-Passwörter sowie Karten- und Bankdaten seien jedoch unzugänglich geblieben, so Keystone.

Das Unternehmen gab an, den Zugriff gesperrt, die Sicherheitslücke behoben, eine Untersuchung eingeleitet und mit der Benachrichtigung der betroffenen Kunden per E-Mail begonnen zu haben. Es wurden keine Angaben zur Anzahl der Opfer, zum Eindringweg oder zum Angemaker gemacht, jedoch wurde angekündigt, dass bald ein detaillierter Bericht folgen wird.

Keystone warnte Käufer davor, dass Betrüger sie telefonisch, per SMS, E-Mail oder Post kontaktieren könnten, um Erstattungen, neue Geräte oder „Reparaturen“ für Bestellungen oder Adressen anzubieten. Zudem wies Keystone die Käufer darauf hin, keine Wiederherstellungsphrase auf einem Gerät einzugeben, das sie nicht bestellt hatten, und die Adresse keyst.one selbstständig einzutippen.

Bevor Keystone öffentlich wurde, meldete der X-Nutzer @PEPE_Whale69 am Freitagabend einen möglichen Datenleck. Er gab an, einen Anruf von jemandem erhalten zu haben, der eine Telefonnummer der Polizei aus Montreal vortäuschte, und fragte, ob Amazon, eBay oder Keystone etwas bedeuteten.

Der Beitrag enthielt Details, die mit der Keystone-Bestellung des Nutzers aus 2024 übereinstimmten. Keystone reagierte am Samstag um 1:08 Uhr MEZ und teilte mit, dass es „eine dringende Untersuchung in dieser Angelegenheit eingeleitet hat.“

Kunden berichten, dass Bestellungen älter als 180 Tage geleakt wurden

Keystone wirbt mit der Datenlöschung als Verkaufsargument. Am 5. Januar, dem Tag, an dem Ledger-Kunden über einen Datenleck bei ihrem E-Commerce-Partner Global-e informiert wurden, veröffentlichte Keystone die Aussage: „180 Tage nach Ihrer Bestellung werden Ihre Versanddaten dauerhaft gelöscht.“

„Andere Hardware-Wallets speichern Ihre Daten für immer. Wir löschen Ihre Versandinformationen maximal nach 180 Tagen“, schrieb Keystone im März.

Am Samstag sagte @trintaetres_33, dass die E-Mail zum Datenleck sie erreichte, obwohl sie ein Gerät vor mehr als zwei Jahren gekauft hatten. @BlockchainBarmy gab an, dass zwischen ihrer letzten Bestellung und dem Datenleck 214 Tage vergangen waren.

Die mit dem gefälschten Anruf verknüpfte Bestellung aus dem Jahr 2024 ist ebenfalls mehr als 180 Tage alt, doch Keystone hat öffentlich nicht mitgeteilt, ob es seine eigenen Richtlinien befolgt hat, und keine der Kundenbehauptungen wurde überprüft.

Auf seiner Seite zum Privacy Promise verspricht Keystone, dass alle Versandinformationen automatisch 180 Tage nach einer Bestellung gelöscht werden. In seiner Datenschutzrichtlinie, die im Mai 2021 zuletzt geändert wurde, heißt es jedoch, dass Bestellungsdaten nur für Kunden gelöscht werden, die in den letzten 180 Tagen keine Bestellung getätigt haben.

Ein Artikel im Help Center besagt, dass Aufzeichnungen über Stadt und Land auch dann gespeichert werden, wenn Käufer die Löschung beantragen, und dass Shopify die endgültige Löschung vornimmt.

Im August erklärte Trezor, dass ein Datenleck beim Versandpartner ShipMonk fast 14.000 Kunden betroffen machte; später wurden weitere rund 67.000 US-Kunden zur Gesamtzahl hinzugefügt.

Einige Tage nach Trezors erster Offenbarung teilte SafePal mit, dass ein Fehler in seinem System zur Bestellverfolgung fast 40.000 Kunden exponiert hatte.

Cryptopolitan berichtete Anfang dieses Monats, dass Ledger bestätigt habe, dass versteckte Chips in Wallets, die von CryptoBilis verkauft wurden, während des Einrichtens 24-Wort-Wiederherstellungsphrasen auslesen und diese per LTE senden. On-Chain-Forscher bezifferten die Verluste auf mehr als 86 Millionen Dollar.

Aus diesem Grund wird Trezor ab dem 1. Januar 2027 den Verkauf an bestimmte Wiederverkäufer einstellen.

Keystone-Wallets verwenden QR-Codes zum Signieren von Transaktionen, sodass sie keine USB-, Bluetooth- oder Wi-Fi-Verbindung benötigen. Der Hack betraf den Shopify-Shop des Unternehmens.