OneKey begrenzt Kundendaten auf 30 Tage – Keystone-Deletion-Versprechen gescheitert
- OneKey gab an, Kundendaten nicht länger als 30 Tage aufzubewahren, nachdem Keystone zugegeben hatte, dass sein 180-tägiges Löschsystem versagt hat und dadurch 25.964 Käuferdatensätze in einem Sicherheitsvorfall offengelegt wurden.
- Dieser Schritt ist für Käufer von Hardware-Wallets relevant, da gestohlene Bestelldaten Phishing-Angriffe und Bedrohungen für die physische Sicherheit begünstigen und da Löszusagen von den Shopify-Shops und Versandpartnern abhängen, die die Datensätze tatsächlich持有ten.
- Keyston zerstört zudem 18.835 Geräte, nachdem Angreifer den Schlüssel gestohlen haben, der seine Hardware verifiziert.
OneKeys Gründer Yishi Wang hat sich verpflichtet, Kundendaten innerhalb von 30 Tagen zu löschen, nachdem ein Konkurrent im Bereich Hardware-Wallets, Keystone, zugegeben hatte, dass sein 180-tägiges Löschsystem nach einem Sicherheitsvorfall, bei dem fast 26.000 Käuferdatensätze offengelegt wurden, versagt hat.
Das Helpcenter von Keystone wies darauf hin, dass die endgültige Löschung der Benutzerdatensätze von Shopify übernommen wird. Diese Offenlegung zeigt eine Sicherheitslücke auf Ebene der Shopify-Shops und Logistikunternehmen auf, die außerhalb der Kontrolle von Wallet-Herstellern wie OneKey und Keystone liegt, trotz des 30-Tage-Zusagens des Ersteren.
Warum OneKey seine Datenhaltefrist verkürzt
Yishi Wang von OneKey Ajna am Dienstag, dass der Hersteller von Hardware-Wallets sein eigenes Sicherheitssystem überprüft, nachdem jüngste Sicherheitsverletzungen und Angriffe auf die Lieferkette Sicherheitslücken in dem Sektor offengelegt hatten, in dem er tätig ist.
Wang betonte, dass dieser Schritt präventiv erfolgt, und schrieb: „OneKey hat KEINEN Sicherheitsvorfall erlebt.“ Die Entscheidung, die Datenspeicherung auf 30 Tage zu begrenzen, sei vielmehr eine direkte Reaktion auf das, was an anderer schiefgelaufen sei.
Die Begründung für das kürzere Zeitfenster der Datenspeicherung lautet, dass je länger ein Anbieter Kundendaten aufbewahrt, desto größer ist der Pool an Kundendaten, der bei Sicherheitsverletzungen exponiert werden kann.
Was hat den Keystone-Sicherheitsvorfall verursacht?
Keystone gab dass das System, das Kundendaten automatisch am Ende des 180-tägigen Speicherzeitraums löscht, ohne Auslösung jeglicher Warnsignale nicht mehr funktioniert hatte. „Wir haben unser Versprechen, Kundendaten fristgerecht zu löschen, nicht erfüllt, und übernehmen die Verantwortung für dieses Versagen“, sagte das Unternehmen.
Keystone fand heraus, dass 25.964 Datensätze weiterhin persönliche Daten, Namen, Versandadressen, Kontaktdaten und Kaufhistorien enthielten, während einer Überprüfung von 51,083 Shopify-Käuferdatensätzen. Offenbar wurden noch Daten aus dem Jahr 2024 gespeichert, weit jenseits der 180-Tage-Grenze betonte das Unternehmen Nachdem Ledger-Kunden im Januar 2026 von einem Datenleck bei ihrem E-Commerce-Partner Global-e erfahren hatten.
Ermittler fanden sensible Details in weiteren 12.873 unbezahlten Checkout-Datensätzen.
Als Reaktion hat Keystone sein Aufbewahrungszeitfenster nun auf 90 Tage verkürzt.
Keystone gab zudem am 26. Oktober bekannt, dass Angreifer auch den WebAuth-Schlüssel abgezogen haben, den seine Geräte zur Authentifizierung ihrer Echtheit verwenden. Der Einbruch wurde auf eine Schwachstelle in einem Drittanbieter-Monitoring-Tool zurückgeführt, das es Eindringlingen ermöglichte, ihre Zugriffsrechte zu erhöhen. Keystone hatte die Aktivitäten erstmals am 20. Oktober festgestellt.
Da der Schlüssel während der Fertigung in jedes Gerät eingebrannt und nicht überschrieben werden kann, plant Keystone, alle 18.835 Einheiten im Lagerbestand, die diesen Schlüssel tragen, zu vernichten. Neue Wallets erhalten einen Ersatzschlüssel.
Das Unternehmen hat die Auslieferung offener Website-Bestellungen gestoppt und auf Vorbestellungen umgestellt.
Löschversprechen sind nur so gut wie die Partner, die die Daten halten
Bemerkenswerterweise sind Hardware-Wallet-Hersteller nicht die einzigen, die Kundendaten speichern. E-Commerce-Plattformen und Versandpartner verarbeiten ebenfalls Kundennamen, Adressen und Bestellhistorien, und genau auf dieser Ebene ereigneten sich die meisten der jüngsten Datenschutzverletzungen.
Trezor-Datenleck erreichte 81.000 Kunden, nachdem sein Versandpartner ShipMonk Datensätze trotz wiederholter schriftlicher Zusicherungen nicht löschte. SafePal über 39,798 Kunden durch eine Schwachstelle in der Bestellverfolgung und hat seine Aufbewahrungsfrist seither auf 90 Tage reduziert. Ledger bestätigte, dass wiederverkaute Geräte von CryptoBilis Chips verbargen, die Wiederherstellungsphrasen abfingen. Cryptopolitan, unter Berufung auf On-Chain-Forscher, geschätzte Verluste in Höhe von mehr als $86 Millionen.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Warum kürzt OneKey seine Datenaufbewahrungsfrist auf 30 Tage?
Yishi von OneKey erklärte auf X, dass das Unternehmen seine Sicherheitsmaßnahmen nach einer Welle von Datenschutzverletzungen und Supply-Chain-Angriffen in der Hardware-Wallet-Branche verschärft und betonte, dass OneKey selbst nicht kompromittiert wurde.
Was gab Keystone bezüglich seiner Löschrichtlinie von 180 Tagen zu?
Keystone gab an, dass sein automatisches Löschsystem fehlerhaft war und 25.964 von 51.083 Shopify-Datensätzen mit personenbezogenen Daten über das 180-Tage-Limit hinaus gespeichert wurden; zudem räumte das Unternehmen ein, seinem Versprechen, die Daten fristgerecht zu löschen, nicht nachgekommen zu sein.
Warum zerstört Keystone 18,835 Hardware-Wallets?
Angreifer haben den Authentifizierungsschlüssel gestohlen, den Keystone zur Überprüfung echter Geräte verwendet. Da der Schlüssel während der Fertigung eingebettet und nicht überschrieben werden kann, entsorgt das Unternehmen alle 18.835 betroffenen Geräte und setzt die Lieferungen aus.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
