Keystone vernietigt 18.835 hardwarewallets: gestolen sleutel ondermijnt de echtheidscheck

Hardwarewalletmaker Keystone vernietigt 18.835 onverkochte toestellen en stopt voorlopig met verzenden. Bij een inbraak op de website zijn klantgegevens buitgemaakt, maar ook de sleutel waarmee Keystone controleert of een wallet echt is. Dat tweede probleem is het grootste. Een gelekt adres is vervelend. Een vervalste wallet die door de officiële controle komt, is een directe bedreiging voor je crypto.

Hoe de aanvaller binnenkwam

Volgens een bericht van Keystone op X kwam de aanvaller op 20 oktober binnen via een kwetsbaarheid in een monitoringtool van een externe partij. FinanceFeeds meldt dat de aanvaller daarna zijn rechten kon uitbreiden en zo bij gevoelige informatie kwam. Het bedrijf meldde eerst alleen dat klantgegevens waren uitgelekt. Op 26 oktober volgde een uitgebreidere update: ook de zogeheten WebAuth-sleutel was gestolen.

Bij de 25.964 kopersrecords gaat het om namen, contactgegevens, verzendadressen en bestelinformatie. Herstelzinnen, private keys en walletgegevens zijn volgens Keystone niet gelekt. Crypto.news meldt dat ook bankgegevens en identiteitsnummers buiten schot bleven.

Waarom die ene sleutel zo zwaar weegt

Voor wie minder thuis is in hardwarewallets: zo'n apparaat bewaart je private keys offline. De beveiliging werkt alleen als je zeker weet dat het apparaat zelf niet gemanipuleerd is. Daarom laten fabrikanten nieuwe wallets een echtheidscontrole doen. Bij Keystone gebeurt dat met een sleutel die tijdens de productie in het toestel komt en daarna niet meer te wissen of te vervangen is.

Met die sleutel in handen kunnen criminelen in theorie namaakwallets bouwen die de officiële controle gewoon doorstaan. De gestolen sleutel kan zelf geen herstelzinnen genereren of transacties goedkeuren. Wel geeft hij een vervalst toestel een schijn van echtheid, en dat is precies waar oplichters naar zoeken. Omdat een update niet mogelijk is, blijft er voor de voorraad maar één optie over: vernietigen.

Gegevens die er niet meer hadden mogen zijn

Pijnlijk detail: een deel van de gelekte records had al verwijderd moeten zijn. Keystone hanteert een bewaartermijn van 180 dagen, maar een geautomatiseerde verwijdertool werkte niet en niemand merkte het. "We zijn onze belofte om klantgegevens op tijd te wissen niet nagekomen en we nemen de verantwoordelijkheid voor dit falen", schreef het bedrijf. De bewaartermijn gaat nu terug naar 90 dagen.

Keystone staat hierin niet alleen. Een dag eerder meldde Foundation, de maker van de Passport-wallet, een eigen datalek. Ook daar bleken oude databasekopieën aan het verwijderproces te zijn ontsnapt.

Dit jaar waren ook Ledger en Coldcard al doelwit. Bij Ledger werden via wederverkopers in Zuidoost-Azië toestellen verkocht met verborgen onderdelen die herstelzinnen onderschepten. Bij Coldcard konden aanvallers door een fout in de software voor seedgeneratie private keys reconstrueren.

Wat bezitters nu moeten doen

Heb je je Keystone vóór 20 oktober ontvangen en slaagt de echtheidscontrole, dan kun je het toestel volgens het bedrijf veilig blijven gebruiken. Kreeg je na die datum een toestel met de oude sleutel, vraag dan eerst om een extra controle voordat je er geld op zet. Je hoeft je crypto niet te verplaatsen alleen vanwege dit lek.

Let vooral op je inbox. Wie naam, adres en bestelgegevens heeft, kan overtuigende phishing versturen. Keystone waarschuwt uitdrukkelijk voor nepberichten over terugroepacties of het migreren van tegoeden. Een fabrikant die je vraagt je herstelzin in te voeren of je munten naar een nieuw adres te sturen, bestaat niet. Nieuwe toestellen krijgen een vervangende sleutel. Tot die klaar zijn, verkoopt Keystone via de website alleen nog op preorder.