Keystone vernichtet 18.835 Hardware-Wallets: Was Besitzer jetzt wissen müssen

Der Hardware-Wallet-Hersteller Keystone vernichtet 18.835 fertige Geräte aus dem eigenen Lager und hat den Versand gestoppt. Dahinter steckt ein kryptografischer Schlüssel. Beim Einbruch in die Firmen-Website am 20. Oktober 2026 floss der sogenannte WebAuth-Schlüssel ab, mit dem Keystone-Besitzer online prüfen, ob ihr Gerät echt ist. Dieser Schlüssel wird in der Fertigung fest in den Chip geschrieben und lässt sich danach nicht mehr austauschen. Dem Hersteller bleibt deshalb nur, die betroffene Charge zu zerstören.

Für Besitzer ist die Lage überschaubarer, als die Zahl vermuten lässt. Der Wiederherstellungssatz ist nach Unternehmensangabe nicht betroffen, und wer sein Gerät vor dem 20. Oktober erhalten hat, muss weder etwas zurücksenden noch Guthaben umziehen. Entscheidend ist das Lieferdatum. Dieser Text ordnet ein, was abgeflossen ist, was der Schlüssel technisch kann, welche Geräte betroffen sind und woran du die Betrugswelle erkennst, die solchen Meldungen regelmäßig folgt.

Der Einbruch vom 20. Oktober: eine Lücke im Fremdwerkzeug der Website

Angegriffen wurde der Webshop, nicht ein einzelnes Gerät. Nach Darstellung des Unternehmens gelangte ein Angreifer am 20. Oktober 2026 über eine Schwachstelle in einem zugekauften Werkzeug zur Datenüberwachung in die offizielle Website. Solche Dienste sitzen als fremder Programmcode in der eigenen Seite und sehen alles, was dort passiert. Genau diese Bauweise ist in den vergangenen Wochen mehrfach zum Einstiegspunkt geworden, auch bei Wettbewerbern.

Abgeflossen sind nach Unternehmensangabe zwei sehr unterschiedliche Dinge. Zum einen Kundendaten: 25.964 Kaufdatensätze aus den Jahren 2024 bis 2026 mit Namen, Kontaktdaten, Lieferanschriften und Bestelldetails, dazu 12.873 abgebrochene Bestellvorgänge. Diesen Teil hatte Keystone bereits am 25. Oktober eingeräumt, und wir haben ihn in der Meldung zum bestätigten Datenleck beschrieben. Zum anderen, und das ist der neue Teil der Geschichte, der WebAuth-Schlüssel.

Unberührt bleiben nach Angabe des Herstellers Wiederherstellungssätze, private Schlüssel, sonstige Wallet-Zugangsdaten, Bankzahlungsdaten und Ausweisnummern. Diese Abgrenzung ist wichtig, weil sie den Unterschied zwischen einem ärgerlichen Datenabfluss und einem Verlust von Guthaben markiert.

Der WebAuth-Schlüssel sitzt ab Werk im Gerät und lässt sich nicht ersetzen

WebAuth-Schlüssel heißt bei Keystone das Geheimnis, mit dem ein Gerät gegenüber der Echtheitsseite des Herstellers beweist, dass es aus echter Produktion stammt. Der Ablauf dahinter ist in der Branche üblich und in zwei Sätzen erklärt: Das Gerät bekommt in der Fertigung ein Geheimnis eingebrannt, der Hersteller kennt die Gegenseite dieses Geheimnisses, und bei der Prüfung rechnet das Gerät eine Aufgabe, die sich nur mit dem richtigen Geheimnis lösen lässt. Besteht es die Aufgabe, gilt es als echt.

Der Haken liegt im Wort „eingebrannt“. Das Geheimnis wird einmal in den Chip geschrieben und ist danach weder löschbar noch überschreibbar. Ein Passwort kannst du wechseln, einen Schlüssel in dieser Bauform nicht. Fertige Geräte mit dem alten Geheimnis bleiben also dauerhaft Geräte mit dem alten Geheimnis. Keystone hat die laufende Produktion deshalb auf einen Ersatzschlüssel umgestellt. Für die Ware, die schon gefertigt im Lager lag, gab es diesen Weg nicht.

18.835 Lagergeräte gehen in die Vernichtung, der Versand ruht

Die Konsequenz ist ungewöhnlich deutlich. 18.835 unverkaufte Geräte mit dem alten Schlüssel werden zerstört, sie kommen nicht in den Verkauf und werden nicht ausgeliefert. Der Versand über die Website ruht, der Verkauf läuft auf Vorbestellung weiter. Wer in den nächsten Tagen eine Hardware-Wallet dieses Herstellers bestellen wollte, bekommt also einen Liefertermin statt eines Pakets.

Diese Entscheidung kostet den Hersteller eine komplette Charge und ist aus Lesersicht die bessere Nachricht, denn die Alternative wäre gewesen, Geräte mit einem bekannten Echtheitsnachweis auszuliefern. Wer ohnehin vor einer Neuanschaffung stand, findet die Kriterien dafür in unserem Vergleich der Hardware-Wallets; der Lieferweg ist dort seit den Vorfällen dieses Jahres ein eigenes Kriterium.

Echtheitsprüfung: Eine Fälschung könnte die Online-Abfrage bestehen

Warum ist ein Echtheitsschlüssel überhaupt schützenswert? Weil die Echtheitsprüfung die letzte Instanz ist, bevor jemand seinen Wiederherstellungssatz in ein Gerät tippt. Eine manipulierte Hardware-Wallet ist von außen kaum zu erkennen und fällt vor allem dann auf, wenn die Prüfung beim Hersteller fehlschlägt. Wer den Schlüssel besitzt, könnte nach Darstellung des Unternehmens und der berichtenden Fachmedien Nachbauten herstellen, die diese Prüfung bestehen.

Belegt ist damit eine Möglichkeit, kein Vorfall. Bislang gibt es keine Meldung über tatsächlich aufgetauchte Fälschungen mit dem gestohlenen Schlüssel und keine Meldung über dadurch verlorene Guthaben. Das ist der Grund, warum der Hersteller ausdrücklich sagt, dass allein wegen dieses Vorfalls niemand Guthaben bewegen muss. Das Risiko sitzt bei künftiger Ware aus unklaren Quellen, kaum bei den Geräten, die bereits bei Kunden liegen.

Wie real dieses Muster ist, hat der Fall Ledger in diesem Jahr gezeigt: Dort kamen Geräte mit einem zusätzlichen Chip über Wiederverkäufer in Südostasien in Umlauf, und der Schaden lag nach Analystenschätzungen, über die wir am 9. Oktober 2026 berichtet haben, bei mehr als 86 Millionen Dollar. Der Unterschied zum heutigen Fall: Bei Ledger war der Vertriebsweg angreifbar, bei Keystone der Nachweis selbst.

Wiederherstellungssatz und private Schlüssel bleiben nach Unternehmensangabe unberührt

Ein Wiederherstellungssatz, meist Seed Phrase genannt, ist die Liste aus zwölf oder vierundzwanzig Wörtern, aus der sich alle Schlüssel einer Wallet wieder herleiten lassen. Diese Liste entsteht auf dem Gerät und verlässt es im Normalbetrieb nie. Genau deshalb berührt ein Einbruch in einen Webshop sie nicht: Dort liegen Bestellungen, keine Schlüssel.

Diese Trennung ist der eigentliche Wert der Selbstverwahrung, und sie hält in diesem Fall. Wer seinen Wiederherstellungssatz sauber verwahrt, hat nach diesem Vorfall nichts zu tun. Wer sich unsicher ist, ob die eigene Aufbewahrung trägt, findet die gängigen Fehler in unserer Anleitung zur sicheren Aufbewahrung der Seed Phrase.

Das Lieferdatum trennt die betroffenen von den unbetroffenen Geräten

Der Hersteller zieht die Grenze am Einbruchstag. Geräte, die vor dem 20. Oktober 2026 geliefert wurden, bleiben nach Unternehmensangabe sicher nutzbar, sofern sie die Echtheitsprüfung bestehen. Das betrifft die große Mehrheit der Geräte im Umlauf, denn der Schlüssel wurde erst mit dem Einbruch bekannt.

Anders liegt der Fall bei Geräten, die nach dem 20. Oktober mit dem alten Schlüssel ausgeliefert wurden. Diese Kunden sollen sich nach Herstellerangabe an den Support wenden und eine zusätzliche Prüfung durchführen lassen, bevor sie das Gerät benutzen. Ein zweiter Blick auf die Versandbestätigung im Postfach klärt also, in welcher der beiden Gruppen du bist.

Unabhängig davon bleibt der Umgang mit einem neuen Gerät derselbe: Ein Gerät aus zweiter Hand oder von einem fremden Händler richtest du niemals mit einem beiliegenden Wiederherstellungssatz ein, und ein Gerät, das eine Zahlung ohne klare Anzeige bestätigen will, verdient Misstrauen.

Keystone fordert kein Gerät zurück, jede Rücksendeaufforderung ist Betrug

Hier liegt das größere Alltagsrisiko dieses Vorfalls, und es hat mit Technik nichts zu tun. Eine Meldung über vernichtete Geräte ist die perfekte Vorlage für eine Betrugsmasche: ein Schreiben im Namen des Herstellers, ein angeblicher Rückruf, ein Austauschprogramm, eine „Sicherheitsmigration“. Dazu passen die abgeflossenen Lieferanschriften, denn mit Name und Adresse klingt eine solche Nachricht glaubwürdig.

Keystone stellt dazu zwei Dinge klar. Das Unternehmen fordert niemanden auf, ein Gerät einzusenden, und wer darum bittet, ist nach Darstellung des Herstellers ein Betrüger. In der Stellungnahme vom 26. Oktober 2026 unter dem Titel „Statement Regarding the Security Incident on Our Official Website and Customer Guidance“ räumt das Unternehmen über sein Konto @KeystoneWallet zugleich ein Versäumnis bei den Kundendaten ein: Man habe die Zusage, Kundendaten rechtzeitig zu löschen, nicht eingehalten und übernehme dafür die Verantwortung. Ein automatisches Löschwerkzeug hatte versagt, ohne dass es auffiel; die Aufbewahrungsfrist sinkt nun von 180 auf 90 Tage.

Merke dir die einfache Regel: Niemand, der es gut mit dir meint, braucht dein Hardware-Gerät oder deine zwölf Wörter. Jede Nachricht, die beides verlangt, kannst du ohne weitere Prüfung löschen.

25.964 Bestelldatensätze und die Wohnanschrift als eigenes Risiko

Der Datenteil des Vorfalls wirkt länger als der Schlüsselteil. Eine Lieferanschrift ändert man nicht wie ein Passwort, und die Verbindung aus Name, Adresse und der Information „besitzt eine Hardware-Wallet“ ist für Kriminelle wertvoll. Das reicht von gezielten Phishing-Mails bis zu dem seltenen, aber real dokumentierten Fall körperlicher Nötigung.

Praktisch heißt das: Rechne in den kommenden Monaten mit Post und Mails, die deinen Namen korrekt schreiben. Diese Korrektheit beweist nichts; sie ist eine Folge des Lecks. Wer neu bestellt, sollte den Lieferweg so wählen, dass die eigene Wohnadresse nicht in der nächsten Datenbank landet.

Ist die Echtheitsprüfung nach dem Schlüsseltausch wieder verlässlich?

Teilweise, und diese ehrliche Antwort ist nützlicher als eine beruhigende Formel. Für neue Geräte aus der umgestellten Produktion gilt wieder, was vorher galt: ein Schlüssel, den nur Hersteller und Gerät kennen. Bei den Geräten mit dem alten Schlüssel, die bereits bei Kunden liegen, kann die Online-Prüfung ein echtes Gerät weiterhin bestätigen, einen Nachbau mit dem gestohlenen Schlüssel aber nicht mehr sicher ausschließen.

Diese Schwäche läuft erst aus, wenn die alte Charge aus dem Markt verschwunden ist, und das dauert Jahre. Bis dahin trägt der Kaufweg mehr Gewicht als der Prüfhaken: ein Gerät direkt vom Hersteller oder von einem autorisierten Händler, versiegelt, ohne beiliegende Wörter.

Vier Vorfälle bei Hardware-Wallets in diesem Jahr, vier verschiedene Schwachstellen

Der Keystone-Fall steht nicht allein, wiederholt aber auch keinen der früheren Fälle. Stellt man die Vorfälle dieses Jahres nebeneinander, traf jeder eine andere Stelle zwischen Fertigung und Nutzer, und darin liegt die eigentliche Lehre:

• Ledger, Oktober 2026: manipulierte Geräte mit zusätzlichem Chip über Wiederverkäufer in Südostasien. Schwachstelle: der Vertriebsweg.
• Coldcard, 2026: ein Fehler bei der Erzeugung des Wiederherstellungssatzes, der das Rekonstruieren privater Schlüssel ermöglichte. Schwachstelle: die Zufallserzeugung im Gerät.
• Foundation, 25. Oktober 2026: ein eigener Vorfall, bei dem Phishing-Mails von den offiziellen Domains des Herstellers versandt wurden; nach Unternehmensangabe mehr als 23.000 Versuche, dazu rund 5.600 Postanschriften und 5.200 Telefonnummern aus älteren Datenbankkopien. Hinweise auf kompromittierte Geräte oder private Schlüssel gab es nicht. Schwachstelle: die Kommunikationswege.
• Keystone, 20. bis 26. Oktober 2026: der Echtheitsnachweis selbst. Schwachstelle: ein nicht austauschbares Geheimnis in einer angreifbaren Website.

Zwei Hersteller innerhalb von zwei Tagen, und in beiden Fällen scheiterte eine automatische Löschung alter Kundendaten. Das verbindet die Fälle stärker als die Technik: Nicht das Gerät war die Schwachstelle, sondern das Unternehmen drumherum. Die Hardware-Wallet selbst hat in allen vier Fällen gehalten, was sie verspricht, denn die privaten Schlüssel blieben im Gerät. Wer daraus eine Konsequenz zieht, zieht sie bei der Datenspur des Kaufs und beim Lieferweg, nicht bei der Wahl des Chips.

Keystone-Geräte: Das Lieferdatum vom 20. Oktober entscheidet

1. Versandbestätigung heraussuchen. Liegt die Lieferung vor dem 20. Oktober 2026, ist nach Unternehmensangabe nichts zu tun, solange die Echtheitsprüfung des Herstellers das Gerät bestätigt. Danach geliefert: Support kontaktieren und zusätzlich prüfen lassen. Steht ohnehin ein Neukauf an, vergleiche vorher die Lieferwege im Hardware-Wallet-Vergleich.
2. Jede Rückruf-Nachricht ignorieren. Keystone fordert keine Geräte zurück. Wer dich zur Einsendung, zum „Austauschprogramm“ oder zur Eingabe deiner Wörter auffordert, betrügt dich, auch mit korrektem Namen und korrekter Adresse. Wenn du ohne eigenes Gerät überbrücken willst, stehen die Optionen im Software-Wallet-Vergleich.
3. Nur bei echtem Verdacht umziehen. Ein Guthabenumzug ist allein wegen dieses Vorfalls nicht nötig. Nötig wird er, wenn dein Gerät die Echtheitsprüfung nicht besteht oder aus unklarer Quelle stammt: dann neues Gerät, neuer Wiederherstellungssatz, Guthaben umziehen. Wer die Coins in der Zwischenzeit nicht selbst verwahren will, findet die zugelassenen Anlaufstellen unter den regulierten Krypto-Börsen.

Die Zahl 18.835 beschreibt eine Charge im Lager, nicht die Geräte in den Schubladen der Kundschaft. Diese Unterscheidung hat der Hersteller selbst gezogen, und sie ist der Kern der Meldung. Weitere Details nennt die Berichterstattung von The Hacker News.

(Stand: 28. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)