Keystone-datalek onthult gegevens die langer bewaard bleven dan beloofde 180 dagen

Keystone ontdekte op 20 oktober ongeautoriseerde toegang tot zijn officiële website en bevestigde drie dagen later, na onderzoek van de API-activiteit samen met Shopify, dat er sprake was van een datalek. Bij het incident werden namen, contactgegevens, verzendadressen en bestelgegevens van klanten blootgelegd, waaronder de gekochte artikelen, aldus de berichtgeving van Cointelegraph.

De onthulling staat haaks op het gestelde bewaarbeleid van Keystone. Op de pagina met de Privacy Promise staat: “alle verzendinformatie wordt automatisch verwijderd 180 dagen nadat uw bestelling is geplaatst.” Een privacybeleid dat voor het laatst in mei 2021 is bijgewerkt, stelt dat Keystone “alle bestelinformatie van elke klant die in de afgelopen 180 dagen geen bestelling heeft geplaatst” wist, aldus de berichtgeving van The Block.

Daarmee is het datalek niet alleen een incident op het gebied van websitebeveiliging, maar ook een probleem met gegevensbewaring. Klanten van wie de bestelling meer dan 180 dagen oud was, kregen te horen dat hun verzendgegevens permanent waren verwijderd, terwijl gegevens die gekoppeld waren aan oudere aankopen juist tot de informatie behoorden die na het datalek ter sprake kwam.

Het eigen verhaal van Keystone is voorzichtiger geformuleerd. Het bedrijf stelt dat financiële informatie, betaalkaarten, bankgegevens, herstelzinnen, private keys en wallet-wachtwoorden niet zijn blootgesteld. Het bedrijf meldde: “We hebben de toegang geblokkeerd, het beveiligingslek verholpen, een onderzoek geopend en sturen e-mails naar getroffen klanten.”

Dat onderscheid is relevant voor de wallets zelf. Volgens Keystone bieden de blootgelegde gegevens geen directe toegang tot tegoeden of ondertekeningsgegevens. Wel identificeren ze mensen als kopers van een hardware wallet en kunnen ze deze kopers koppelen aan fysieke adressen. Het bedrijf schreef zelf: “U heeft ons die gegevens toevertrouwd, en het spijt ons dat we ze niet veilig hebben weten te houden.”

Het feitenoverzicht geeft geen duidelijkheid over hoeveel klanten zijn getroffen, hoe de aanvaller toegang kreeg tot de op Shopify gebaseerde webwinkel, of de aanvaller is geïdentificeerd. Ook wordt niet duidelijk waarom informatie over aankopen van ouder dan 180 dagen toegankelijk bleef. Keystone bevestigde het datalek op 23 oktober; er wordt geen deadline voor klantmeldingen genoemd, afgezien van de mededeling dat getroffen klanten per e-mail worden geïnformeerd.

Meldingen van klanten voegen data toe aan de tegenstrijdigheid rond het bewaarbeleid. @BlockchainBarmy schreef op X dat “er 214 dagen waren verstreken tussen hun laatste bestelling en het datalek.” Een andere gebruiker, @trintaetres_33, schreef: “Ik heb het meer dan twee jaar geleden gekocht. Ik kreeg een e-mailmelding.” @PEPE_Whale69 meldde dat een beller die een Montreals politienummer spoofte, gegevens gebruikte die overeenkwamen met een Keystone-bestelling uit 2024 en probeerde te achterhalen of Amazon, eBay of Keystone “iets betekenden” voor diegene.

Die meldingen vormen geen officiële telling van het aantal getroffen klanten of forensische bevinding, maar ze laten wel zien waarom de verwijderbelofte centraal staat in dit incident. Een gebruiker die afging op de belofte van 180 dagen, kon er redelijkerwijs van uitgaan dat een oud verzendrecord was verwijderd, terwijl uit de onthulling van het datalek blijkt dat de toegankelijke gegevensset van de webwinkel verder reikte dan die gestelde termijn.

Keystone voegde daaraan toe: “Nogmaals, het spijt ons oprecht voor iedereen die hierdoor is getroffen.” Eerdere marketingteksten presenteerden het beleid juist als onderscheidend kenmerk: “Andere hardware wallets bewaren uw gegevens voor altijd. Wij verwijderen uw verzendgegevens binnen maximaal 180 dagen.” Door het huidige incident blijft de eigen verwijderbelofte van het bedrijf een open vraag.

De veiligheidsbelangen zijn concreet. CertiK registreerde wereldwijd 52 geverifieerde wrench attacks in de eerste helft van 2026, tegenover 39 in dezelfde periode vorig jaar. Dat is een toename van 13 aanvallen, oftewel 33,3%: (52 − 39) ÷ 39 × 100. In die context kan blootgelegde verzendinformatie wel degelijk een risico vormen, ook als wallet-gegevens buiten het gemelde datalek blijven.

De getroffen klanten van Keystone staan er slechter voor omdat hun namen, contactgegevens, adressen en aankoopgeschiedenis mogelijk nog bruikbaar zijn voor gerichte social-engineering-pogingen. De eerstvolgende stappen zijn melding en onderzoek; het bedrijf heeft geen openbaar tijdpad gegeven voor het afronden van beide. De belangrijkste onopgeloste vraag is of Keystone de op 23 oktober blootgelegde gegevens kan rijmen met een beleid dat permanente verwijdering na 180 dagen belooft.