Samenvatting: Hardware wallet-fabrikant Keystone moet 18.835 apparaten uit voorraad vernietigen nadat hackers via een lek in de eigen website een sleutel stalen die wordt gebruikt om de echtheid van een Keystone-wallet te controleren. Wat Keystone op 24 oktober nog als een “gewoon” datalek omschreef — namen, adressen, bestelgegevens van ruim 25.000 klanten — bleek afgelopen maandag veel ernstiger: met die gestolen sleutel kunnen aanvallers in theorie nepwallets bouwen die de officiële authenticiteitscheck gewoon doorstaan. Seed phrases en private keys zijn volgens Keystone niet geraakt, maar als je na 20 oktober een nieuw apparaat via de webshop bestelde, is extra voorzichtigheid wel verstandig.
Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.
Ik zit nu alweer bijna 13 jaar in crypto, en in die tijd is de hardware wallet hét symbool geworden van “nu ben je pas écht eigenaar van je eigen geld”. Geen exchange die je account kan bevriezen, geen custodial dienst die omvalt — gewoon een los kastje met jouw seed phrase erin. Precies daarom is het verhaal dat Keystone deze week moest bevestigen zo ongemakkelijk: het raakt niet je geld direct, maar het raakt het vertrouwen in het apparaat zelf.
Wat is er precies gebeurd?
Het begon op 20 oktober met ongeautoriseerde toegang tot de officiële Keystone-website. Het bedrijf zegt die toegang nog dezelfde dag te hebben geblokkeerd, gevoelige website-functies te hebben uitgeschakeld en daarna een forensisch onderzoek te zijn gestart. Op 24 oktober kwam de eerste disclosure naar buiten, en die klonk op dat moment nog relatief onschuldig: een datalek met namen, verzendadressen, contactgegevens en bestelinformatie van klanten. Keystone benadrukte toen dat seed phrases en private keys veilig waren gebleven.
Afgelopen maandag (26 oktober) volgde een veel vervelender update. Keystone meldde dat de aanvaller, naast klantgegevens, ook een sleutel had buitgemaakt die wordt gebruikt om te verifiëren of een Keystone-apparaat origineel is.
“Dit stelde de aanvaller in staat om bepaalde klantinformatie te verkrijgen, plus een sleutel die wordt gebruikt om de authenticiteit van onze apparaten te verifiëren.” — Keystone, geciteerd door Cointelegraph
Volgens Cointelegraph maakte de aanvaller daarbij gebruik van een kwetsbaarheid in een monitoringtool van derden die op de website draaide, om zo rechten te verhogen tot het punt waarop die sleutel buit te maken was.
De authenticatie-sleutel: waarom dit meer is dan “alleen” een datalek
De gestolen sleutel — crypto.news noemt hem de “WebAuth key” — wordt tijdens de productie in elk Keystone-apparaat gebakken en gebruikt zodra jij als klant je wallet via Keystone’s eigen authenticatiewebsite controleert. Belangrijk: deze sleutel genereert geen seed phrases, leidt geen private keys af en ondertekent geen transacties. Hij doet in principe maar één ding: bevestigen dat het kastje in jouw handen een echt, door Keystone geproduceerd apparaat is.
En precies dat maakt het risico vervelend. Met de sleutel in handen kunnen kwaadwillenden in theorie nepapparaten produceren die de officiële check gewoon doorstaan.
“Deze apparaten kunnen dan verkocht of verzonden worden aan klanten, die ze onwetend als origineel product kunnen gebruiken — wat kan leiden tot diefstal van crypto-bezit.” — Keystone, geciteerd door Cointelegraph
Dit is een goed moment om even stil te staan bij wat een hardware wallet eigenlijk doet voor wie net begint met crypto. Het idee van self-custody — zelf je private keys beheren in plaats van ze bij een exchange te laten staan — is precies waarom mensen überhaupt een los apparaatje als een Keystone of Ledger kopen. Maar self-custody is alleen zo veilig als het apparaat dat je in handen hebt ook daadwerkelijk is wat de fabrikant beweert dat het is. Twijfel je nog over wat self-custody precies betekent en hoe je dat als starter goed aanpakt, dan is onze uitleg voor crypto-beginners een goed startpunt.
De cijfers achter het lek
Keystone en crypto.news noemen een reeks concrete getallen:
- 18.835 apparaten in voorraad die de gecompromitteerde sleutel bevatten, worden vernietigd.
- 51.083 klantrecords stonden in totaal in de Shopify-winkel van Keystone.
- 25.119 daarvan waren al verwijderd onder het 180-dagen-bewaarbeleid.
- 25.964 resterende records (bestellingen uit 2024-2026) zijn gestolen: namen, contactgegevens, verzendadressen en bestelgegevens.
- 12.873 onvolledige checkout-records (van klanten die niet afrekenden) bleven ook bij Shopify staan en zijn eveneens gestolen.
Keystone zegt de productie inmiddels te hebben overgeschakeld op een nieuwe authenticatie-sleutel en heeft de verzending van nog niet afgehandelde bestellingen via de website opgeschort, tot de nieuwe apparaten met de vervangende sleutel beschikbaar zijn. Apparaten die vóór 20 oktober zijn geproduceerd en geleverd, worden door het bedrijf als veilig beschouwd — hun authenticiteitscheck blijft betrouwbaar. Voor apparaten die daarna nog met de oude sleutel zijn verzonden, kan Keystone de authenticiteit niet garanderen.
Wat moet je doen als je een Keystone-wallet hebt?
Even belangrijk als paniek vermijden: je seed phrase is volgens Keystone niet gestolen, en dit is geen reden om je crypto nu halsoverkop naar een andere wallet te verplaatsen. Toch is het slim om een paar dingen te checken:
- Check de aankoopdatum. Is je apparaat vóór 20 oktober 2026 geproduceerd en geleverd? Dan beschouwt Keystone het als veilig.
- Koop je nu pas een Keystone-apparaat via de website, neem dan contact op met de klantenservice voor extra verificatie voordat je het in gebruik neemt, zeker bij bestellingen die ná 20 oktober zijn verzonden.
- Negeer “terugroepacties”. Keystone heeft expliciet gezegd klanten niet te vragen hun wallet terug te sturen. Krijg je toch zo’n verzoek — of een mailtje dat vraagt om je seed phrase te “verifiëren” of je saldo te “controleren” — dan is dat vrijwel zeker oplichting.
- Deel nooit je seed phrase, ook niet met iemand die zich voordoet als Keystone-support. Dat heeft met deze specifieke hack niets te maken, maar is sowieso altijd de belangrijkste regel bij elke hardware wallet.
- Vertrouw niet alleen op de officiële authenticatiewebsite als je apparaat ná 20 oktober is verzonden — verifieer bij twijfel via meerdere kanalen of neem rechtstreeks contact op met de klantenservice.
Keystone zegt zelf ook een reeks maatregelen te nemen: de bewaartermijn voor klantgegevens is verkort naar 90 dagen, er lopen verwijderverzoeken bij Shopify, getroffen klanten krijgen individuele e-mailmeldingen, en er is een beveiligingsaudit aangekondigd van de toegangscontrole, het sleutelbeheer en de verwijderprocedures. Het bedrijf zegt daarnaast meldingen te hebben gedaan bij toezichthouders en opsporingsdiensten in de EU, het VK en andere jurisdicties.
Niet de eerste — en waarschijnlijk niet de laatste
Wat deze zaak extra confronterend maakt, is dat hardware wallet-fabrikanten dit jaar wel vaker in het nieuws komen om de verkeerde reden. Cointelegraph noemt in hun berichtgeving onder meer de grote Ledger-hack uit 2020 (meer dan 1 miljoen gelekte e-mailadressen), het datalek bij Trezor’s verzendpartner in augustus dat in september uitgroeide tot ruim 80.000 getroffen gebruikers, en een vergelijkbaar lek bij SafePal dat bijna 40.000 klanten raakte.
En Keystone is deze week niet eens het enige wallet-merk in het nieuws: ook Foundation, maker van de Bitcoin-wallet Passport, meldde maandag dat aanvallers via gestolen Cloudflare API-sleutels valse e-mails konden versturen die leken te komen van Foundation’s eigen domein. Foundation-CEO Zach Herbert zegt dat de phishingactiviteit binnen tien minuten na de eerste meldingen is gestopt, en benadrukt dat “Passport-apparaten veilig en beveiligd zijn” en dat fondsen op het apparaat niet zijn aangetast. Ook hier geldt: klik niet op links in onverwachte e-mails van je walletleverancier en voer nooit je seed phrase in op een site waarvan je de echtheid niet 100% zeker weet.
Twijfel je na dit verhaal over je huidige hardware wallet, dan hoef je niet meteen te switchen — maar als je toch op zoek bent naar een nieuw apparaat, zijn Ledger en Zengo allebei gevestigde namen met een trackrecord van transparant communiceren bij incidenten — iets wat na deze week extra zwaar mag wegen in je keuze.
Conclusie
De kern van dit verhaal is niet dat er geld is gestolen — dat is, voor zover nu bekend, niet gebeurd. De kern is dat het vertrouwensmechanisme zelf is aangetast: het systeem waarmee je checkt of een hardware wallet origineel is, bleek zelf te kapen. Voor de 18.835 apparaten die nu vernietigd worden is dat vervelend voor Keystone’s voorraad, maar voor jou als gebruiker is de les simpeler: controleer de leverdatum van je apparaat, wees extra alert bij recente bestellingen, negeer elk verzoek om je seed phrase te delen of je wallet terug te sturen, en onthoud dat zelfs de beste beveiligingslaag — een hardware wallet — draait op het vertrouwen dat de fabrikant dat apparaat verifieerbaar origineel kan maken. Dat vertrouwen is deze week een deuk opgelopen, maar met een beetje gezond verstand loop je als Keystone-gebruiker geen onnodig risico.
Is mijn crypto in gevaar als ik een Keystone-wallet gebruik?
Volgens Keystone zijn seed phrases, private keys en wallet-credentials niet gestolen bij dit lek. Het risico zit in de gestolen authenticatie-sleutel, waarmee aanvallers in theorie nepapparaten kunnen maken die de echtheidscheck doorstaan — niet in het direct kunnen leeghalen van bestaande wallets.
Moet ik mijn Keystone-wallet terugsturen of vervangen?
Nee. Keystone heeft expliciet gezegd klanten niet te vragen hun apparaat terug te sturen. Is je apparaat vóór 20 oktober 2026 geproduceerd en geleverd, dan beschouwt Keystone het als veilig. Krijg je wel een verzoek om je wallet terug te sturen, behandel dat dan als een phishingpoging.
Is dit vergelijkbaar met de Ledger-hack uit 2020?
Niet helemaal. De Ledger-hack van 2020 betrof vooral het lekken van ruim 1 miljoen klant-e-mailadressen via een datalek, zonder dat de authenticiteit van de apparaten zelf in het geding was. Bij Keystone gaat het specifiek om een gestolen sleutel die de echtheidscontrole van het apparaat zelf kan ondermijnen, naast een vergelijkbaar datalek van klantgegevens.
Wat is het verschil met het Foundation Passport-incident van dezelfde week?
Bij Foundation ging het om gestolen Cloudflare API-sleutels waarmee aanvallers valse e-mails konden versturen die leken te komen van het officiële Foundation-domein. Foundation zegt dat de Passport-hardware zelf niet is aangetast en dat fondsen veilig zijn. Bij Keystone gaat het om een sleutel die de echtheid van het hardware-apparaat zelf kan verifiëren, wat een andere en in potentie verdergaande impact heeft.
Ontdek meer van Crypto-Gids
Abonneer je om de nieuwste berichten naar je e-mail te laten verzenden.
