Keystone bevestigt datalek: “we zijn jullie een excuus verschuldigd”

Hardwarewalletmaker Keystone heeft zaterdag een inbraak in zijn eigen webwinkel openbaar gemaakt. Gelekt zijn namen, contactgegevens, afleveradressen en bestelgegevens van klanten. Herstelzinnen, private keys en betaalgegevens zijn volgens het bedrijf niet getroffen. Voor jou als koper betekent dat: je tegoed loopt door dit incident geen gevaar, je adres en het feit dat je een hardware wallet bezit wel degelijk.

Dat is een belangrijk onderscheid, en het bepaalt wat nu zinvol is en wat je juist in de problemen brengt. De gevaarlijkste reactie op zo'n bericht is de overhaaste: wie in paniek zijn apparaat reset, zijn coins ergens naartoe verplaatst of ingaat op een zogenaamde omruilactie, verliest zijn geld uiteindelijk niet door de oorspronkelijke aanval. Hij verliest het aan de fraudegolf die daarop volgt.

Wat Keystone openbaar heeft gemaakt: toegang op 20 oktober, bevestiging op 23 oktober

Keystone heeft de ongeautoriseerde toegang tot de bedrijfswebsite naar eigen zeggen op 20 oktober 2026 opgemerkt. Na controle van de API-activiteit bij Shopify, de webwinkeldienst van de maker, bevestigde het bedrijf op 23 oktober dat een derde verzendgegevens van klanten had buitgemaakt. Openbaar gemaakt heeft Keystone het incident op 24 oktober via zijn kanaal op X.

Het bericht begint met een zin die bedrijven na een datalek zelden zo direct formuleren: “We owe you an apology”, in het Nederlands: we zijn jullie een excuus verschuldigd. Keystone schrijft verder dat het de toegang heeft afgesloten, de misbruikte kwetsbaarheid heeft gedicht, een onderzoek is gestart en begint met het per e-mail informeren van getroffen klanten. Een uitgebreid rapport is aangekondigd.

Een aantal kerngegevens ontbreekt nog. Keystone noemt niet het aantal getroffen klanten, niet de periode waaruit de buitgemaakte bestellingen stammen en niet de route waarlangs de aanvaller binnenkwam. Ook een uitsplitsing per land is er niet, en daarmee geen antwoord op de vraag hoeveel kopers in Nederland of België in de dataset staan. Wie wil weten of hij erbij hoort, is op dit moment aangewezen op de melding van het bedrijf. De mededeling van de maker is de enige primaire bron die er op dit punt is.

Deze gegevens zijn gelekt, deze volgens het bedrijf niet

Volgens Keystone omvat de dataset namen, contactgegevens, afleveradressen en de bestelgegevens, dus de gekochte artikelen en de betaalde prijzen. Dat laatste is geen bijzaak: uit het bestelde model valt af te lezen welk apparaat iemand gebruikt, en uit de prijs hoeveel hij heeft geïnvesteerd.

Uitdrukkelijk niet getroffen zijn volgens de maker creditcard- en bankgegevens, herstelzinnen, private keys en de wachtwoorden van de apparaten. Die mededeling komt van het bedrijf zelf en is tot nu toe niet onafhankelijk gecontroleerd; een forensisch onderzoek door derden heeft Keystone niet overgelegd.

Technisch is de bewering toch aannemelijk, en daar is een eenvoudige reden voor.

De herstelzin staat nog altijd alleen op de hardware wallet

Een hardware wallet is een apparaat dat je private keys aanmaakt en bewaart, zonder ze ooit aan een computer of het internet door te geven. Een overboeking wordt op het apparaat zelf ondertekend, naar buiten gaat alleen de kant-en-klare handtekening. De maker komt daarbij niets over je sleutels te weten, omdat hij ze nooit krijgt. Hoe dat in detail werkt, staat in onze uitleg over wat een hardware wallet eigenlijk doet.

Wat een webwinkel van het apparaat weet

De webwinkel van een maker staat volledig los van die techniek. Hij verwerkt bestellingen, dus adres, artikel, prijs en verzendstatus. Tussen het winkelsysteem en de chip in het apparaat bestaat geen verbinding waarlangs een aanvaller vanuit een klantendatabase bij sleutels zou kunnen komen. Daarom geldt het principe dat elke reactie op dit incident zou moeten bepalen: een datalek bij de verkoper is een privacy-incident, geen walletincident. Je hoeft je apparaat niet te resetten, geen nieuwe wallet aan te maken en geen tegoed te verhuizen.

De Shopify-API: wat de verwijzing betekent en wat niet

Keystone noemt in zijn mededeling de controle van de API-activiteit bij Shopify als de manier waarop de omvang van het lek is vastgesteld. Die verwijzing wordt makkelijk verkeerd begrepen. Ze betekent dat de logbestanden van het winkelplatform hebben laten zien welke gegevens zijn opgevraagd. Ze betekent niet dat het platform Shopify zelf is gecompromitteerd, en dat beweert Keystone ook niet.

Een API waarlangs een winkelsysteem bestelgegevens doorgeeft, is voor de beheerder een normaal werktuig. Ze wordt beveiligd met toegangssleutels en vaak ook opengezet voor aanvullende programma's die verzending, marketing of boekhouding verzorgen. Komt zo'n sleutel in verkeerde handen of wordt een gekoppeld programma zelf aangevallen, dan kan het bestand worden weggehaald zonder dat iemand in de winkel hoeft in te breken. Welke van die routes hier is gebruikt, heeft Keystone tot nu toe niet meegedeeld.

De vier trucs waarvoor Keystone zelf waarschuwt

De maker geeft in zijn mededeling vrij precies aan waar gedupeerden nu op moeten rekenen. Criminelen doen zich voor als Keystone, per e-mail, telefoon, sms of per post. Aangeboden worden terugbetalingen, gratis vervangende apparaten en hulp bij een zogenaamd foutieve bestelling of een verkeerd afleveradres. Het bedrijf maakt daarbij duidelijk dat het nooit naar een herstelzin of een private key vraagt.

De gevaarlijkste van deze trucs is het vervangende apparaat. Die werkt omdat hij eruitziet als coulance: er komt een pakket aan, daarin een apparaat en een briefje dat het oude model door het incident is getroffen en het nieuwe al is ingesteld. Wie de bijgevoegde herstelzin gebruikt of zijn eigen zin in het vreemde apparaat invoert, geeft de controle over zijn tegoed uit handen. Precies daarom luidt de regel zonder uitzondering: een herstelzin voer je nooit in op een apparaat dat je niet zelf hebt besteld, en nooit op een website of in een formulier. De typische waarschuwingssignalen van zulke berichten hebben we na eerdere gevallen op een rij gezet in een overzicht over phishing na een datalek.

Dat de post in dit rijtje staat, is het verschil met een gewoon e-maillek. Een brief met het juiste adres, de juiste besteldatum en de passende modelnaam komt echt over, omdat hij er echt uitziet. De gegevens die hem geloofwaardig maken, komen uit de dataset.

Het afleveradres is de eigenlijke schade

Een e-mailadres kun je veranderen. Een woonadres niet, in elk geval niet zonder te verhuizen. Dat is de reden waarom beveiligingsexperts bij lekken in de verzending van cryptoapparaten stelliger zijn dan bij andere datalekken.

Beveiligingsontwikkelaar Taylor Monahan, in de branche bekend onder de naam Tay, heeft volgens berichten van crypto.news erop gewezen dat zulke verzendgegevens kopers kunnen blootstellen aan fysieke bedreigingen, tot en met beroving en ontvoering. In de scene heet dat een wrench attack: een aanval die niet de versleuteling probeert te kraken, maar de mens die de sleutel kent. Bewijs dat de bij Keystone buitgemaakte gegevens al tot fysieke aanvallen hebben geleid, is er tot nu toe niet.

De nuchtere duiding daarbij: de dataset bevat informatie die een adreslijst uit een willekeurige webwinkel niet bevat. Hij koppelt een adres aan de mededeling dat daar iemand woont die cryptovaluta zelf bewaart en daar geld voor heeft uitgegeven. Wie zijn apparaten tot nu toe op het eigen woonadres liet bezorgen, heeft na dit incident een reden om dat voortaan anders te doen, bijvoorbeeld via een pakketpunt of een afleveradres dat niet de woning is. Bij de keuze van een apparaat is dat een criterium naast de technische: in onze vergelijking van hardware wallets staat welke makers via welke routes leveren.

De belofte van 180 dagen en de privacyverklaring van 7 juli

Hoe groot de schade is, hangt af van hoe lang Keystone bestelgegevens überhaupt bewaart. Daarover bestaan twee openbare uitspraken van het bedrijf, en ze dekken elkaar niet.

Het Duitstalige vakportaal block-builders.de heeft erop gewezen dat Keystone op 5 januari 2026 op X reclame maakte met de zin dat de verzendgegevens 180 dagen na de bestelling definitief worden gewist. In de privacyverklaring van het bedrijf staat het nauwer. Daar staat dat de bestelinformatie wordt gewist van elke klant die in de afgelopen 180 dagen geen bestelling heeft geplaatst. De termijn loopt volgens die formulering dus vanaf de telkens laatste bestelling, niet vanaf elke afzonderlijke. Wie twee keer heeft gekocht, van die blijft de oudere bestelling dus bewaard. Die analyse heeft cryptoticker.io op 25 oktober 2026 zelf gemaakt, op basis van de privacyverklaring van 7 juli 2026 op de bedrijfssite.

Of de dataset werkelijk alleen bestellingen uit de afgelopen 180 dagen bevat, is daarmee open. Keystone heeft zich op vragen via sociale netwerken daarover niet vastgelegd en verwezen naar het lopende onderzoek en het aangekondigde rapport. Een oordeel of de toezegging van januari is nagekomen, valt naar de huidige stand niet te onderbouwen, en het staat hier uitdrukkelijk niet.

Yanssie HK Limited in Hongkong: wie achter het merk Keystone zit

Voor kopers in de EU is een gegeven in dezelfde privacyverklaring in de praktijk belangrijker dan de bewaartermijn. Als verantwoordelijke onderneming noemt die Yanssie HK Limited met zetel in Hongkong, en ze valt onder het recht van de speciale bestuurlijke regio Hongkong.

De Algemene verordening gegevensbescherming (AVG) geldt daar los van, als een aanbieder van buiten de EU gericht goederen aan mensen in de Unie verkoopt. Artikel 27 verlangt van zulke aanbieders bovendien dat ze een vertegenwoordiger in de Unie aanwijzen, bij wie gedupeerden en toezichthouders terechtkunnen. In de privacyverklaring van Keystone staat zo'n vertegenwoordiger niet. Als route voor inzage, rectificatie en verwijdering noemt ze het supportadres van het bedrijf en de verwijzing dat je je tot de privacytoezichthouder van je land kunt wenden.

In de praktijk betekent dat: je rechten bestaan, maar de weg ernaartoe is langer dan bij een aanbieder met een vestiging in de EU. Wie dat wil vermijden, komt niet om de basisvraag heen hoeveel hij zelf bewaart en hoeveel bij een aanbieder onder toezicht staat. Welke partijen onder toezicht staan, laat een overzicht van gereguleerde cryptobeurzen zien.

Inzage volgens artikel 15, schadevergoeding volgens artikel 82

Twee rechten zijn voor gedupeerden in de EU relevant. Artikel 15 van de AVG geeft je het recht te weten welke gegevens een bedrijf over je heeft opgeslagen. Bij dit incident is dat de enige betrouwbare manier om de vraag te beantwoorden die Keystone heeft opengelaten: uit welke periode je bestellingen nog aanwezig zijn en wat daarvan in de dataset stond. Het verzoek gaat naar het supportadres van het bedrijf, het kan vormloos en is gratis.

Artikel 82 regelt de schadevergoeding, ook voor immateriële schade zoals het verlies van controle over je eigen gegevens. Over de hoogte valt nog weinig algemeens te zeggen. Bepalend zijn volgens de rechtspraak onder meer de gevoeligheid van de getroffen gegevens, aard en duur van het controleverlies en de vraag of die controle te herstellen is. Betrouwbare bedragen voor een geval als dit bestaan niet, en wie je een som noemt voordat omvang en periode van het lek vaststaan, rekent met een getal dat nog niemand kent.

Trezor, SafePal, Ledger: de verzendroute is de zwakste schakel

De zaak voegt zich in een reeks die in 2026 opvallend dicht is geworden, en het patroon is telkens hetzelfde: telkens houdt de cryptografie van de apparaten stand, en telkens geeft de keten van winkelsysteem, verzenddienst en gekoppelde aanvullende programma's mee.

Trezor meldde in augustus een lek via logistiek dienstverlener ShipMonk, eerst met 13.689 getroffen klanten; begin september kwamen er volgens het bedrijf zo'n 67.000 klanten uit de Verenigde Staten bij, met bestellingen uit de jaren 2019 tot en met 2021. Wat gedupeerden daar konden doen, hebben we beschreven in het artikel over het datalek bij Trezor. SafePal noemde in dezelfde maand 39.798 getroffen klanten, gelekt via een ingebouwd programma voor het volgen van zendingen. Het oudste en bekendste geval blijft Ledger: na het incident van 2020 werden zo'n 272.853 records met adressen openbaar, plus ongeveer een miljoen e-mailadressen.

De nagekomen melding van Trezor uit september laat daarbij precies het probleem zien dat nu ook bij Keystone speelt: daar stonden bestellingen uit 2019 tot en met 2021 in een dataset, hoewel de dienstverlener het wissen van oude gegevens eerder schriftelijk had bevestigd. Een toegezegde bewaartermijn is maar zoveel waard als de uitvoering ervan bij elke dienstverlener die de gegevens ooit heeft gezien.

Aan de afweging tussen zelfbewaring en bewaring bij een derde verandert dat weinig. De zeggenschap over de sleutels blijft het sterkste argument voor een eigen apparaat, en geen van deze incidenten heeft ooit tot verlies van tegoed door het apparaat zelf geleid. Wat verandert, is het inzicht dat de aankoop van een beveiligingsapparaat zelf een dataspoor achterlaat waar je rekening mee moet houden.

Datalek bij Keystone: de seed is veilig, het afleveradres niet

Voor bezitters van een Keystone-apparaat volgt daaruit een overzichtelijke volgorde.

1. Verander niets aan het apparaat. Geen reset, geen nieuwe herstelzin, geen verhuizing van het tegoed. Het incident betreft het winkelsysteem, niet de sleutels. Denk je toch al aan een ander apparaat, dan is de vergelijking van hardware wallets daarvoor de juiste plek, niet een e-mail die je een vervangend apparaat aanbiedt.
2. Behandel elk contact als onecht tot het tegendeel vaststaat. Klik niet op links uit berichten, gebruik geen terugbelnummers uit e-mails, voer geen herstelzin in. Ga naar de maker via het zelf ingetypte adres van zijn website. Wil je principieel minder zelf bewaren, bekijk dan in plaats daarvan de aanbieders onder toezicht in een overzicht van gereguleerde cryptobeurzen.
3. Vraag inzage op volgens artikel 15 en wacht het rapport af. Een vormloze e-mail aan de support maakt duidelijk welke bestelgegevens nog zijn opgeslagen. Het aangekondigde uitgebreide rapport van het bedrijf kun je het best afwachten voordat je verdergaande stappen overweegt. Wie tegelijk overweegt kleinere bedragen helemaal niet op een apparaat te zetten, vindt de alternatieven in een vergelijking van software wallets.

Het ene getal dat bij dit incident nog ontbreekt, is het aantal gedupeerden. Tot Keystone het noemt, moet elke koper ervan uitgaan dat hij erbij hoort.

(Per 25 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)