Keystone hat eine großartige Nachricht für Sie: Das Unternehmen schwört, dass niemand Ihre Seed-Phrasen angerührt hat. Die schlechte Nachricht: Es hat den Generalschlüssel verloren, mit dem es die Echtheit seiner Wallets nachwies, hat den Angreifern die Wohnadressen Zehntausender Kunden überlassen – und bittet nun mit todernster Miene, ihm aufs Wort zu glauben, dass alles Übrige sicher unter Verschluss ist.
Am 26. Oktober veröffentlichte Keystone seine Mitteilung zum Sicherheitsvorfall. Nach eigenen Angaben bemerkte das Unternehmen am 20. Oktober Eindringlinge auf seiner offiziellen Website: Der Angreifer kam über eine Lücke in einem externen Datenüberwachungstool hinein, erweiterte seine Rechte und zog mit zwei Trophäen ab – der Kundendatenbank mit Lieferadressen und dem kryptografischen WebAuth-Schlüssel, mit dem Keystone die Echtheit jeder einzelnen seiner Wallets bescheinigt.
Wer genau zu Besuch kam, welches externe Tool gehackt wurde und wie viele Wochen oder Monate sich die Eindringlinge vor dem 20. Oktober im System eingerichtet hatten, verrät der Bericht nicht. Mit einem gewissen Stolz teilt das Unternehmen dagegen mit, wie viele eigene Geräte nun unter die Industriepresse müssen: 18.835 Stück. Der Versand aus dem Lager ist gestoppt, doch die Vorbestellungen für eine künftige Charge mit „neuem Schlüssel“ wurden sofort eröffnet – Sie sollen sich lediglich vier bis sechs Wochen gedulden. Und selbstverständlich Ihre Wohnadresse noch einmal eingeben.
Besondere Bewunderung verdient die technische Ironie. Jahrelang verkaufte sich Keystone als Goldstandard für „100 % air-gapped“-Sicherheit: kein Bluetooth, kein WLAN, keine Datenübertragung per USB – nur Kamera und QR-Codes, damit die Wallet niemals und unter keinen Umständen mit dem Internet in Berührung kommt. Heldenhaft schnitt man dem Gerät das Kabel ab, schraubte dann aber einen externen Tracker an die Website, über den ein Angreifer von der Straße bis zum Kronjuwel der Werksverifizierung vordrang. Es muss eine sehr wichtige Kennzahl gewesen sein, die man da überwachte.
1. Was dieser „Generalschlüssel“ ist und warum das ganze Lager in den Schredder wandert
Die Echtheitsprüfung bei Keystone ist simpel. Beim ersten Einschalten des Geräts rufen Sie die offizielle Prüfseite auf, die Website zeigt einen QR-Code, Sie scannen ihn mit der Kamera der Wallet, die Wallet gibt eine Ziffernfolge aus, und Sie tippen diese zurück in die Website. Stimmen die Werte überein, gratuliert Ihnen der Bildschirm zum Besitz eines „echten“ Geräts.
Ein Blick in den Quellcode der Keystone-3-Firmware zeigt, was hinter den Kulissen passiert. Der QR-Code enthält einen mit RSA verschlüsselten und mit einem Keystone-Schlüssel signierten Prüfwert. Die Wallet prüft die Signatur und entschlüsselt den Wert mit einem privaten RSA-Schlüssel. Dieser Schlüssel wird im Werk in einen einmal programmierbaren Speicher (OTP) geschrieben – die Standard-Firmware lässt ein Überschreiben nicht zu.
Mit anderen Worten: Die gesamte „Echtheitsprüfung“ belegt genau eine Tatsache – das Gerät in Ihren Händen kennt ein Geheimnis. Nicht „die Platine wurde im Keystone-Werk bestückt“, nicht „im Inneren steckt kein zusätzlicher Chip“, nicht „der Zufallszahlengenerator arbeitet ehrlich“. Nur: „Es kennt das Geheimnis.“ Genau jenes Geheimnis, das sich nach eigenem Eingeständnis des Unternehmens nun in den Händen der Angreifer befindet. Die Prüfseite selbst funktioniert weiterhin wie ein Uhrwerk – nur kann jetzt jede beliebige Fälschung das ersehnte grüne Häkchen aufleuchten lassen.
In seiner Pressemitteilung beeilt sich Keystone, die Öffentlichkeit zu beruhigen: Der gestohlene Schlüssel sei weder an der Erzeugung der Seed-Phrase noch an der Ableitung privater Schlüssel oder der Signatur von Transaktionen beteiligt. Technisch ist das die reine Wahrheit – nur war es eben genau dieser Schlüssel, der die Käufer davon überzeugte, dass man der Box überhaupt eine Seed-Phrase anvertrauen kann. Eine Kleinigkeit.
Noch interessanter ist ein Detail, das in der Beschreibung des Austauschs auftauchte: Alle 18.835 Wallets im Lager tragen den „alten“ Schlüssel, die nächste Charge bekommt einen „neuen“. Daraus folgt ein bemerkenswerter Schluss über die Architektur: Statt individueller Zertifikate für jedes Gerät hat Keystone offenbar ein einziges gemeinsames Geheimnis auf eine ganze Charge geprägt. Die Sparsamkeit war mustergültig: Leakt ein einziger Schlüssel, gibt es keine einzelnen Seriennummern, die man sperren könnte – das ganze Lager kommt unters Messer.
Hinzu kommt: Um den QR-Code für die Prüfung zu erzeugen, brauchte die Website nur die öffentliche Hälfte des Schlüssels. Die private Hälfte, ohne die niemand die Prüfung im Namen eines Geräts beantworten kann, lag offenbar bequem irgendwo, wo man über den Webserver herankam. Den Generalschlüssel zum Werkssiegel unter der Fußmatte des Onlineshops aufzubewahren – das ist ein ganz neues Kapitel der Kryptografie.
2. Was sich mit diesem Schlüssel jetzt anstellen lässt
Das zentrale Angriffsszenario beschreibt Keystone selbst: Mit dem erbeuteten Geheimnis können Kriminelle gefälschte Wallets am Fließband herstellen, die die offizielle Echtheitsprüfung auf der Website anstandslos bestehen, sie über Wiederverkäufer oder gebraucht verkaufen – und anschließend die Guthaben der Käufer abräumen. Bislang wurden keine Fälschungen in freier Wildbahn gemeldet.
Um den Besitzer auszurauben, braucht eine Fälschung weder die originale Keystone-Firmware noch den werkseitigen Code-Signing-Schlüssel (der laut Beteuerung des Unternehmens nicht betroffen ist). Im täuschend ähnlichen Kunststoffgehäuse kann eine beliebige billige Platine stecken, die Ihnen bei der Einrichtung eine von den Dieben vorbereitete Seed-Phrase aus 24 Wörtern unterschiebt. Das gestohlene OTP-Geheimnis braucht diese Attrappe für genau einen Zweck – den ersten QR-Code korrekt zu beantworten und den wachsamen Käufer mit dem Schriftzug „Verification Successful“ einzulullen.
Deshalb wandern 18.835 fertige Wallets auf den Schrott. Ihr Speicher ist einmal programmierbar – der Schlüssel lässt sich nicht aus der Ferne aktualisieren. Eine echte Wallet mit „altem“ Schlüssel von einem selbstgebauten Nachbau mit demselben Schlüssel über die Website zu unterscheiden, ist nun ebenfalls unmöglich. Am Ende erwies sich der industrielle Schredder als das einzige Werkzeug zur „Schlüsselrotation“, das die Konstruktion vorsieht. Die Vernichtung der Charge nennt Keystone vollmundig „eine kostspielige, aber richtige Entscheidung“ – dabei ließ ihm seine eigene Architektur schlicht keine andere Wahl.
3. Ein Mann mit Messer am Bett: Wer hat die Gehackten zum Garanten ernannt?
Werfen wir einen Blick auf die offiziellen Empfehlungen von Keystone für alle, die bereits eine Wallet gekauft haben:
- Gerät vor dem 20. Oktober erhalten und es besteht die Prüfung – weiter benutzen, die Kryptowährung muss nicht auf andere Wallets umgezogen werden.
- Gerät mit altem Schlüssel nach dem 20. Oktober erhalten – nicht benutzen, bis der Support (support@keyst.one) die Echtheit manuell bestätigt. Das Unternehmen gibt selbst zu, machtlos zu sein: Selbst wenn eine solche Wallet die Prüfung auf der Website besteht, kann es eine Fälschung nicht mehr ausschließen. Wie genau Käufer herausfinden sollen, ob in ihrer Wallet ein „alter“ oder „neuer“ Schlüssel steckt, hat Keystone laut The Hacker News mit Stand 27. Oktober zu erklären vergessen. Womit der Support die kompromittierte Kryptografie ersetzen will, bleibt ebenfalls ein Rätsel – vermutlich liest man aus einem Foto der Verpackung die Zukunft.
- Einen Rückruf gibt es nicht. Niemand wird gebeten, etwas zurückzuschicken, und alle E-Mails oder Anrufe zum Thema „Wallet-Austausch“ oder „Rettung von Guthaben“ werden zum Betrug erklärt.
Diese ganze Rettungsanleitung hängt am Datum 20. Oktober. In Antworten unter dem eigenen Beitrag versichern Vertreter von Keystone selbstbewusst, der Schlüssel sei am 20. Oktober abgeflossen. Dabei nennt die Pressemitteilung selbst den 20. Oktober als Tag der Entdeckung des Einbruchs, während das Datum, an dem der Angreifer erstmals Zugriff auf das System erhielt, bescheiden verschwiegen wird. Alle, deren Paket am 19. ankam, sollen an einen wundersamen Zufall glauben: dass der Hacker am selben Tag eindrang, die Datenbank samt Schlüssel abzog und auf frischer Tat ertappt wurde.
Doch die grundsätzliche Frage ist hier noch härter: Woher will Keystone selbst überhaupt wissen, was gestohlen wurde und was nicht?
Sehen Sie sich an, wer hier den Experten gibt. All diese Mantras – „der Signaturschlüssel der Firmware ist sicher“, „ältere Geräte sind nicht betroffen“, „in einem Monat liefern wir eine neue, sichere Charge“ – stammen von einem Unternehmen, das gerade erst über ein externes Plugin auf der eigenen Website ausgeräumt wurde. Noch gestern ahnten diese Leute nicht, dass man ihnen das Wurzelgeheimnis ihrer Hardware-Verifizierung vor der Nase wegträgt. Zwei Jahre lang bemerkten sie nicht, dass ihr Skript zum Löschen von Kundenadressen nicht funktionierte. Und heute stellen Ihnen dieselben Leute mit ernster Miene einen Ablassbrief aus und verbürgen sich dafür, in welche Ordner der Hacker hineingeschaut hat und an welchen er edelmütig vorbeigegangen ist.
Wer ein Leck zugelassen hat, ist kein Garant mehr. Wenn sie gestern nichts von diesem Einbruch wussten – wie wollen sie morgen vom nächsten erfahren? Wo ist die Garantie, dass der „neue Schlüssel“, für den sie jetzt Vorbestellungen sammeln, nicht durch das nächste Loch entweicht, bevor das Fließband die ersten tausend Boxen ausspuckt?
4. Zwei Jahre falsche Löschversprechen und 13.000 Menschen, die nicht einmal etwas gekauft haben
Einen kompromittierten Schlüssel kann man in neuer Hardware wenigstens ersetzen. Ihre Wohnadresse lässt sich nicht per Vorbestellung neu ausstellen.
Die Angreifer erbeuteten 25.964 Kundendatensätze aus dem offiziellen Shopify-Shop von Keystone für die Jahre 2024–2026: vollständige Namen, Telefonnummern, E-Mail-Adressen, exakte Lieferadressen nach Hause sowie Inhalt und Summe jeder Bestellung. Dazu kamen weitere 12.873 unbezahlte Bestellentwürfe mit Namen, Telefonnummern und Adressen. Das heißt: Fast dreizehntausend Menschen haben diese unglückselige Wallet nie gekauft – sie besuchten nur die Website, gaben ihre Adresse ein, um die Versandkosten zu prüfen, überlegten es sich anders und schlossen den Tab. Und landeten trotzdem auf einer geleakten Liste von Kryptowährungsbesitzern.
Der eigentliche Tiefpunkt dieser Geschichte ist jedoch, dass die meisten dieser Datensätze gar nicht mehr in der Datenbank hätten existieren dürfen. Keystone hatte den Kunden offiziell versprochen, Lieferdaten nach 180 Tagen zu löschen. Menschen bestellten Hardware-Wallets an ihre Wohnadresse im Vertrauen darauf, dass die Spur nach einem halben Jahr verschwindet. Als die Hacker die Datenbank davongetragen hatten, stellte sich plötzlich heraus, dass das Werkzeug zur Massenlöschung in Shopify die ganze Zeit Fehler warf und niemand im Unternehmen auch nur geprüft hatte, ob überhaupt eine Zeile gelöscht wurde. Nun zuckt Keystone verlegen mit den Schultern, verspricht, die Aufbewahrungsfrist auf 90 Tage zu verkürzen, und schwört feierlich, die alten Archive bis zum 3. November zu löschen – unmittelbar nachdem die Angreifer sie bereits heruntergeladen haben.
Wenn ein Unternehmen zwei Jahre lang beteuert hat, Ihre Daten zu löschen, sie in Wahrheit aber in einem Sparschwein für Hacker angehäuft hat, verdienen seine Worte genau null Vertrauen. Stellen Sie sich vor, Sie wachen mitten in der Nacht auf und sehen, wie ein Ihnen nahestehender Mensch mit einem Messer in der Hand über Ihrem Bett steht. Und er sagt ruhig: „Keine Sorge, mir war einfach danach, mit einem Messer hier zu stehen. Vielleicht wollte ich auch zustechen, aber dreh dich um und schlaf weiter – ich habe diesen Vorfall zur Kenntnis genommen, aufgearbeitet, und genau dieser wird sich nie wiederholen.“ Ungefähr so klingen heute die Versprechen von Keystone, Adressen nach 90 statt nach 180 Tagen zu löschen und den nächsten Generalschlüssel sorgfältiger zu hüten.
Was eine geleakte Datenbank in der Praxis bedeutet, muss man kaum erklären. Es ist ein fertiges Adressverzeichnis von Menschen, bei denen es zu Hause garantiert etwas zu holen gibt – samt vollständigen Namen, Telefonnummern und Wohnungsnummern. Für Telefonbetrüger ist es ein Anruf mit echten Bestelldetails im Rücken: Ein Käufer hat bereits im Thread von Keystone geschrieben, dass Betrüger ihn angerufen und mit seinem echten Namen angesprochen haben. Für Einbruchsausspäher und Freunde der „5-Dollar-Schraubenschlüssel-Attacke“ ist es eine fertige Routenkarte. Um mit dem gestohlenen WebAuth-Schlüssel Geld zu verdienen, muss man gefälschte Platinen löten und einen Vertrieb aufbauen. Um mit der geleakten Shopify-Datenbank Geld zu verdienen, genügen ein Brecheisen und eine Bahnfahrkarte.
5. Fazit: der Preis eines „Werkssiegels“
Setzen wir die ganze Konstruktion zusammen. Käufern wird eine „vollständig air-gapped“ Hardware-Wallet verkauft, die die Seed-Phrase selbst erzeugt und Überweisungen in einer versiegelten Box signiert. Damit Sie keine Angst haben, dieser Box Ihre Ersparnisse anzuvertrauen, bietet der Hersteller an, ihre Echtheit auf der Website zu prüfen. Tatsächlich beruht die Prüfung auf einem einzigen gemeinsamen Geheimnis für eine ganze Lagercharge, und das Geheimnis selbst liegt irgendwo, wo man über einen löchrigen externen Tracker auf dem Webserver herankommt.
Es geht noch weiter. Damit die kostbare Box überhaupt bei Ihnen ankommt, hinterlassen Sie dem Shop Nachnamen, Telefonnummer und Wohnadresse – mit dem Versprechen, dass der Eintrag nach einem halben Jahr gelöscht wird. Das Löschskript funktioniert zwei Jahre lang nicht, niemand bemerkt es, und das gesamte Archiv wandert zusammen mit dem Generalschlüssel der Verifizierung zu den Angreifern. Und als die Katastrophe ans Licht kommt, tritt genau die Firma, die den Einbruch verschlafen und Ihre Adressen zwei Jahre lang gehortet hat, ans Rednerpult und bittet, ihr aufs Wort zu glauben, dass die übrigen Schlüssel unversehrt sind, die Wallets von vor dem 20. Oktober sicher sind und in einem Monat eine neue, ganz bestimmt zuverlässige Charge kommt.
Keystone schickt fast 19.000 eigene Geräte unter die Industriepresse – schlicht, weil das Unternehmen seine eigenen Produkte nicht mehr von Fälschungen unterscheiden kann. Nebenbei haben 38.837 Menschen einen Dauerplatz in kriminellen Datenbanken erhalten, samt exakter Wohnadressen. Eine treffliche Lektion für alle, die noch glauben, ein hübsches grünes Häkchen auf der Website des Herstellers und der Schriftzug „Air-Gapped“ auf der Verpackung könnten echte Sicherheit ersetzen.