Tip: Ontvang het belangrijkste cryptonieuws als eerste via de gratis Crypto Insiders app.
In het kort:
- Namen, contactgegevens, bezorgadressen en bestelgegevens zijn gelekt.
- Herstelzinnen, privésleutels, walletwachtwoorden en betaalgegevens zijn volgens Keystone niet geraakt.
- Klanten moeten oppassen voor nepberichten over terugbetalingen, vervangende apparaten en bezorgproblemen.
Aanvaller weet wie een hardwarewallet kocht
Keystone ontdekte op 20 oktober ongeoorloofde toegang tot zijn website. Na controle van activiteit via Shopify bevestigde het bedrijf op 23 oktober dat een derde partij klantgegevens had buitgemaakt. Het ging om namen, contactgegevens, bezorgadressen en details van bestellingen, waaronder gekochte producten en betaalde prijzen.
We owe you an apology.
On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we're sorry we…
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
Het bedrijf maakte het lek een dag later bekend in een verklaring die Wu Blockchain op X deelde. Keystone heeft nog niet gemeld hoeveel klanten zijn getroffen of over welke bestelperiode het gaat. De toegang is volgens het bedrijf geblokkeerd, het beveiligingslek is gedicht en getroffen klanten worden per e-mail geïnformeerd.
De gestolen gegevens vertellen aanvallers niet hoeveel crypto iemand bezit. Ze laten wel zien wie een apparaat voor het beheren van crypto heeft gekocht en op welk adres die persoon woont. Een vergelijkbaar lek bij een betaalpartner van Ledger leidde eerder tot waarschuwingen voor gerichte phishing.
Geheime toegang volgens Keystone niet gelekt
Keystone benadrukt dat betaalkaart- en bankgegevens niet zijn buitgemaakt. Ook herstelzinnen, privésleutels en wachtwoorden van wallets zijn volgens het bedrijf buiten schot gebleven. Daarmee is er geen aanwijzing dat de aanvaller via dit datalek rechtstreeks toegang kreeg tot cryptomunten van klanten.
Een herstelzin is de reeks woorden waarmee een crypto-wallet op een ander apparaat kan worden hersteld. Wie deze woorden bemachtigt, kan de crypto verplaatsen. Daarom mag zo’n herstelzin nooit worden gedeeld, ook niet met iemand die zegt namens Keystone te bellen of mailen.
Pas op voor nepvervanging en valse terugbetaling
Keystone waarschuwt klanten voor telefoontjes, e-mails, sms-berichten en brieven waarin criminelen echte bestelgegevens kunnen noemen. Zij kunnen zich voordoen als medewerker en een terugbetaling aanbieden, een vervangend apparaat opsturen of beweren dat het bezorgadres moet worden aangepast.
Klik daarom niet op links in onverwachte berichten en gebruik geen ongevraagd vervangend apparaat. Open de website van Keystone door het adres zelf in de browser te typen en controleer twijfelachtige communicatie via de officiële klantenservice. Eerder ontvingen bezitters van Ledger- en Trezor-wallets al valse brieven met QR-codes die hen naar een nepsite moesten lokken.
Keystone heeft een uitgebreider onderzoeksrapport aangekondigd, maar daarvoor nog geen publicatiedatum genoemd.