De Keystone hack draait niet om een directe aanval op recovery phrases of private keys, maar om iets dat minstens zo gevoelig is: de manier waarop een hardware wallet bewijst dat hij echt is. Volgens Keystone kwam een aanvaller via de website van het bedrijf aan een sleutel waarmee apparaten hun echtheid online kunnen aantonen.
Dat heeft gevolgen voor bepaalde, nog niet geleverde toestellen. Keystone meldt dat het 18.835 ongekochte apparaten met de oude verificatiesleutel gaat vernietigen en dat nieuwe hardware een nieuwe sleutel krijgt.
Wat er is gebeurd bij de Keystone hack
Keystone zegt dat een aanvaller toegang kreeg tot de website. Daardoor kon de aanvaller beschikken over de device verification key die hardware wallets gebruiken voor het echtheidsbewijs tijdens de online check.
Met zo’n sleutel kan iemand nepapparaten bouwen die de verificatie mogelijk wél doorstaan. Als kopers daarop vertrouwen, kan dat leiden tot crypto-diefstal—al meldt Keystone dat er geen meldingen zijn van nagemaakte apparaten of diefstallen als gevolg van deze situatie.
Volgens het bedrijf werd de ongeautoriseerde toegang op 20 oktober geblokkeerd. Ook zegt Keystone dat het de gebruikte kwetsbaarheid in een derde-partij data monitoring tool heeft verholpen. Hoe en waar de sleutel precies is opgeslagen, heeft Keystone niet publiek gemaakt.
Hoe de echtheidscheck van Keystone werkt
De verificatie gaat via een QR-code op een controlepagina. Je scant met je apparaat de QR-code en vult vervolgens een code in die het toestel op het scherm toont.
In Keystone’s open-source firmware bevat de QR-code de benodigde informatie versleuteld. De wallet decodeert die met de sleutel die in het apparaat is vastgelegd. Als de code klopt, wijst dat erop dat het toestel de juiste sleutel bezit.
Belangrijk detail: Keystone geeft aan dat de verificatiesleutel alleen bedoeld is voor deze check. De sleutel speelt geen rol bij het maken van recovery phrases, het afleiden van private keys of het ondertekenen van transacties.
Waarom oude apparaten risico kunnen hebben
Omdat de verificatiesleutel in elk apparaat wordt geschreven tijdens de productie, kan die niet meer worden gewist of aangepast. De firmware houdt de sleutel in het geheugen en accepteert geen tweede sleutel.
Maar: als iemand een kopie van de sleutel had, kan die persoon een nepapparaat fabriceren met dezelfde sleutel die de online check doorstaat. Keystone waarschuwt daarom voor een deel van de toestellen—specifiek afhankelijk van wanneer het apparaat bij jou is aangekomen.
Wat Keystone precies gaat doen met 18.835 toestellen
Keystone gaat 18.835 ongekochte en ongeleverde apparaten met de oude verificatiesleutel vernietigen. Tegelijk krijgen alle nieuwe apparaten een nieuwe sleutel.
De kern hiervan is dat het echtheidsproces niet meer zou mogen kunnen worden omzeild door toestellen met de oude sleutel.
Welke data is mogelijk geraakt
Naast de verificatiesleutel meldde Keystone eerder dat een derde partij toegang had tot klantgegevens met betrekking tot verzending. Eerst communiceerde Keystone dat het ging om verzendinformatie, en later werd duidelijk om hoeveel records het ging.
Keystone stelt dat de incidentperiode betrekking had op 25.964 kooprecords van klanten die tussen 2024 en 2026 bestelden op Keystone’s website. Het gaat om gegevens zoals namen, contactgegevens, verzendadressen en orderdetails.
Keystone geeft aan dat betaalgegevens (zoals kaart- en bankinformatie) en overheids-ID’s niet betrokken waren. Ook records uit Amazon en andere verkoopkanalen zouden niet zijn geraakt.
Daarnaast noemt Keystone 12.873 onafgemaakte checkoutrecords als voorzorg. Die bevatten namen, contactgegevens en verzendinformatie van bestellingen die niet zijn voltooid.
Keystone zegt dat een deel van de data mogelijk al eerder verwijderd had moeten zijn. Het bedrijf werkte met een geautomatiseerde tool om records te wissen, maar sommige verwijderingen zouden niet betrouwbaar zijn uitgevoerd. Keystone zegt dat het die mislukkingen niet op tijd heeft opgemerkt.
Privacybeleid aangepast: bewaartermijn korter
In reactie hierop verkort Keystone de bewaartermijn voor persoonlijke gegevens van 180 dagen naar 90 dagen. Het bedrijf vraagt Shopify om persoonlijke data ouder dan 90 dagen te verwijderen en verwacht dat dit op 3 november is afgerond.
Op 27 oktober stond in de privacyverklaring nog dat de bewaartermijn 180 dagen is. Keystone kondigt dus duidelijk aan dat het beleid en de praktijk in lijn worden gebracht.
Wat betekent de Keystone hack voor jou?
Keystone formuleert advies op basis van het moment waarop je apparaat is bezorgd.
Je toestel geleverd vóór 20 oktober
Als jouw Keystone vóór 20 oktober is geleverd en de echtheidscheck doorstaat, dan kun je het apparaat volgens Keystone normaal gebruiken.
Je toestel geleverd na 20 oktober (met oude sleutel)
Ontving je een apparaat na 20 oktober en draagt het mogelijk nog de oude sleutel, dan adviseert Keystone om het apparaat niet te gebruiken totdat support bevestigt dat het echt is.
Keystone vraagt in dat geval contact op te nemen met ondersteuning via support@keyst.one en de instructies op de verification pagina te volgen. Op 27 oktober meldde Keystone dat de pagina die instructies nog niet toonde, en het bedrijf heeft ook niet aangegeven hoe je kunt achterhalen welke sleutel precies in jouw toestel zit.
Ook als je al crypto naar zo’n toestel hebt gestuurd, heeft Keystone nog niet uitgewerkt wat je in die specifieke situatie moet doen.
Je wacht op een bestelling uit de eigen webwinkel
Keystone heeft de verzending vanuit de eigen webshop gepauzeerd totdat apparaten met de nieuwe sleutel beschikbaar zijn. Op 27 oktober stond de Keystone 3 Pro als pre-order, met een leverindicatie van 4 tot 6 weken.
Je kocht via Amazon of een reseller
Ook daar geldt volgens Keystone hetzelfde principe: de handleiding hangt af van wanneer je apparaat is aangekomen, niet van waar je het kocht. Keystone heeft nog niet bevestigd of toestellen met de oude sleutel nog op dat moment werden verkocht.
Je bewaart al crypto op je Keystone
Keystone benadrukt dat je je crypto niet hoeft te verplaatsen enkel en alleen omdat er sprake is van de hack. Wel blijft het advies gelden voor gebruikers van een toestel dat na 20 oktober is ontvangen en mogelijk met de oude sleutel werkt.
Let extra op phishing en nep-‘recalls’
Net als bij andere security-incidenten is de kans groot dat oplichters misbruik maken van de aandacht. Keystone vraagt gebruikers om mogelijke berichten te wantrouwen die aanbieden om:
- een refund of vervangend toestel te regelen,
- een ‘wallet verification’ te doen,
- een recall of terugstuuractie te organiseren, of
- je te helpen met het verplaatsen van crypto.
Volgens Keystone zal het bedrijf niemand vragen om een toestel terug te sturen. Daarnaast waarschuwt het bedrijf om geen recovery phrase in een toestel te typen dat je niet zelf hebt besteld, en om keyst.one handmatig in je browser te typen in plaats van links uit berichten te volgen.
Waarom dit incident breder is dan ‘alleen’ een wallet
De Keystone hack laat zien hoe kwetsbaar de keten rond beveiligingsproducten kan zijn. Zelfs als private keys niet worden buitgemaakt, kan het echtheidsmechanisme worden omzeild als de verificatiegegevens lekken.
Daarom is het niet genoeg om alleen naar end-device exploits te kijken. Ook webservices, tooling van derden en processen rondom dataverwerking spelen een rol in de betrouwbaarheid van hardware-ecosystemen.
Als je wilt vergelijken hoe andere incidenten rond verificatie, tokens of supply chain risico’s kunnen uitpakken, lees ook malicious AGENTS.md in downloads en het risico rond AI-agenten en hoe gestolen GitHub tokens tot secrets kunnen leiden.
Conclusie
De Keystone hack betekent vooral dat de online echtheidscheck van bepaalde hardware wallets mogelijk te omzeilen was. Keystone reageert met het vernietigen van 18.835 ongebruikte apparaten en met nieuwe sleutels voor nieuwe toestellen.
Voor gebruikers is het advies helder maar timing-gedreven: check in welke periode je apparaat is geleverd en handel zoals Keystone aangeeft. Tot slot: wees extra alert op scams die proberen jouw actie af te dwingen via nepberichten of onbetrouwbare links.
Bron: https://thehackernews.com/2026/10/keystone-to-destroy-18835-hardware.html
