Datalek bij een hardware wallet-leverancier: zo herken je phishing en dit doe je nu

Na een datalek bij een hardware wallet-leverancier is hardware wallet phishing het risico om nu op te letten. Met deze stappen herken je een nepbericht en weet je wat je moet doen.

Kort samengevat

• Keystone meldde op 24 oktober 2026 dat een onbevoegde partij via de eigen webwinkel klantgegevens heeft opgehaald: naam, contactgegevens, verzendadres en bestelgegevens.
• Volgens Keystone zijn betaalgegevens, herstelzinnen, private keys en wallet-wachtwoorden niet blootgesteld.
• Het echte risico zit na zo’n lek bij hardware wallet phishing: een mail, brief of telefoontje dat klopt met je echte bestelling.
• Je herstelzin voer je nooit in en deel je nooit, bij niemand, om welke reden ook.
• Firmware haal je alleen via de officiële weg van de fabrikant, en een apparaat koop je alleen bij een betrouwbare verkoper.

Wat er bij Keystone gebeurde

Keystone is een fabrikant van hardware wallets. Op 24 oktober 2026 meldde het bedrijf een datalek via de eigen webwinkel. Volgens Keystone ontdekte het bedrijf de toegang op 20 oktober en bevestigde het op 23 oktober, na controle van API-activiteit samen met Shopify, dat een derde partij klantgegevens had opgehaald. Crypto Briefing schreef er ook over: Keystone: datalek via website legde klantgegevens bloot.

Het gaat om namen, contactgegevens, verzendadressen en bestelgegevens, waaronder gekochte artikelen en prijzen. Keystone zegt dat betaalgegevens, herstelzinnen, private keys en wallet-wachtwoorden niet zijn blootgesteld. Het bedrijf zegt de toegang te hebben geblokkeerd en de kwetsbaarheid te hebben gepatcht. Er is een onderzoek gestart en getroffen klanten worden per e-mail geïnformeerd. Een uitgebreid rapport volgt binnenkort.

Over aantallen getroffen klanten, de duur van de toegang en de dader is bij het schrijven niets bevestigd. Wij vullen dat dus niet in.

Dit stuk is geen oordeel over Keystone. Webwinkels van alle merken, ook de grootste, kunnen met zo’n incident te maken krijgen. Het gaat ons om wat je als bezitter van een hardware wallet het beste kunt doen, bij welk merk je ook bent.

Waarom een adreslek het echte risico is

Een herstelzin is veilig zolang niemand je ernaar laat typen. Een aanvaller met alleen je naam, adres en bestelgeschiedenis kan dus niet bij je bitcoin. Maar hij kan wel geloofwaardig klinken. Dat is de kern van hardware wallet phishing: de oplichter bewijst met jouw eigen gegevens dat hij “van het bedrijf” is.

Onze inschatting: een bestelling van een hardware wallet kan een oplichter helpen om geloofwaardig te klinken. Daarom is elk bericht dat naar je bestelling verwijst extra verdacht.

Keystone waarschuwt zelf dat oplichters zich via telefoon, sms, e-mail of post als Keystone voordoen. Ze bieden terugbetalingen, vervangende apparaten of “oplossingen” voor je bestelling of adres aan. Volgens Keystone komt niets daarvan van het bedrijf. Daaruit zijn vier gangbare scenario’s af te leiden.

1. De phishingmail

Een mail met je echte naam en een echt bestelde artikel. “Door een beveiligingsincident moet je je apparaat verifiëren.” Een knop leidt naar een nagemaakte site die om je herstelzin vraagt, of om een “synchronisatie” van je wallet.

2. De nepbrief of het nep-pakketje

Ook post is mogelijk, omdat een adres bekend is. Denk aan een brief met een QR-code, of een pakketje met een “vervangend apparaat” in de originele verpakking. Dat apparaat is dan gemanipuleerd of vraagt bij het opstarten om een herstelzin die al is ingevuld of die je moet “herstellen”.

3. Het nep-vervangapparaat

Een aanbod om je apparaat gratis te vervangen vanwege het lek. Een apparaat dat je niet zelf besteld hebt, gebruik je niet. Zet er nooit bitcoin op.

4. Het nep-supportcontact

Een telefoontje, sms of chat van “de beveiligingsafdeling”. Ze kennen je bestelling, dus het voelt echt. Ze willen dat je een link opent, software installeert of “even” je woorden voorleest.

Herkenningstekens van hardware wallet phishing

Geen enkel teken is op zichzelf bewijs. Samen geven ze een duidelijk beeld.

• Vraag naar je herstelzin. Echte fabrikanten, winkels en support vragen er nooit om. Dit is het belangrijkste teken, en het enige waar je geen discussie over hoeft te voeren.
• Haast. “Binnen 24 uur of je wallet wordt geblokkeerd.” Een hardware wallet kan niet op afstand geblokkeerd worden.
• Een onverwacht aanbod. Terugbetaling, gratis vervanging, bonus. Je hebt er niet om gevraagd.
• Een afwijkend afzenderadres of domein. Kijk naar de letters achter de @ en in de link. Eén letter verschil is genoeg voor een nepsite.
• Een link of QR-code in plaats van de officiële weg. Typ het adres zelf in, of gebruik een bladwijzer die je eerder opsloeg.
• Verzoek om software te installeren of het scherm te delen. Support heeft dat niet nodig om je een vraag te beantwoorden.
• Een pakket of brief die je niet verwachtte. Open, gebruik of scan niets.

Dit doe je nu

Voer je herstelzin nooit in en deel hem nooit

Je herstelzin gaat alleen in je hardware wallet zelf, bij een herstel dat jij zelf start, op een apparaat dat je zelf bij een betrouwbare verkoper kocht. Niet op een website, niet in een app naar aanleiding van een mail, niet aan een medewerker, niet in een foto. Wie wil weten hoe je hem veilig bewaart, vindt de basis in onze gids over fouten bij zelf bewaren.

Haal firmware alleen via de officiële weg

Updates komen via de officiële app of website van de fabrikant, die je zelf opent. Niet via een link in een mail, bericht of social media. Controleer bij elke update dat het apparaat zelf de handeling bevestigt. Verschijnt er een scherm dat om je herstelzin vraagt tijdens een update, stop dan en haal het apparaat los.

Koop een apparaat alleen bij een betrouwbare verkoper

Koop bij de fabrikant of een erkende verkoper. Een apparaat van een marktplaats of een onbekende verkoper kan al geopend zijn. Een apparaat met een al ingevulde herstelzin of een kaartje met “instructies” is een alarmsignaal. Onze hardware wallets vind je in de categorie Hardware Wallets.

Behandel elk onverwacht bericht als verdacht

Gebruik niets uit het bericht. Ga zelf naar de officiële website van de fabrikant en kijk daar of er echt een melding staat. Bel een nummer terug dat je zelf opzoekt, niet het nummer dat in het bericht staat.

Zet je beveiliging op orde

Gebruik een uniek wachtwoord en tweestapsverificatie voor het e-mailadres dat je bij bestellingen gebruikt. Wie je mail overneemt, kan “wachtwoord vergeten” op andere accounts doen. Meer praktische punten staan in Laat je niet hack maken.

Weet welke gegevens je zelf achterlaat

Elke webwinkel bewaart iets. Welke gegevens wij bewaren en wat er bij een eerder lek speelde, staat beschreven op onze privacypagina. Lees dat zoals het er staat: wij beloven hier niets extra’s.

Geraakt door een lek? Zo ga je verder

Je bitcoin zelf is niet automatisch in gevaar, ook niet als je adres bekend is. Verander niets overhaast aan je wallet. Verhuis je bitcoin niet omdat een mail dat zegt. Alleen als je ooit je herstelzin hebt ingevoerd of gedeeld, behandel je die als gelekt en zet je bitcoin over naar een nieuwe wallet met een nieuwe herstelzin, aangemaakt op een apparaat dat je zelf kocht. Houd nieuws van de fabrikant in de gaten via de officiële kanalen. Voor nieuws over een ander merk, zie ons Ledger-nieuws.

Veelgestelde vragen

Kan iemand met mijn naam en adres bij mijn bitcoin?

Nee. Zonder je herstelzin of private keys niet. Gegevens als naam en adres geven geen toegang tot je wallet. Ze maken oplichters wel geloofwaardiger, daarom blijft je herstelzin het enige dat je nooit hoeft te delen. Tegen hardware wallet phishing helpt één vuistregel: je herstelzin hoort nooit op een scherm dat je niet zelf opende.

Moet ik mijn bitcoin verplaatsen na een datalek bij mijn leverancier?

Niet als je herstelzin niet is gelekt of door jou zelf is ingevoerd. Volgens Keystone zijn herstelzinnen niet blootgesteld. Verplaatsen is wel nodig als je je herstelzin ooit op een onveilige plek, in een website of aan iemand anders hebt gegeven.

Hoe weet ik of een e-mail van de fabrikant echt is?

Vertrouw het bericht zelf niet. Open de officiële website via je eigen bladwijzer en kijk of daar dezelfde melding staat. Echte berichten vragen nooit om je herstelzin en zetten je niet onder tijdsdruk.

Mag support mijn herstelzin vragen?

Nooit. Geen enkele betrouwbare fabrikant of winkel vraagt erom, voor geen enkel probleem.

Wat als ik per post een vervangend apparaat krijg?

Gebruik het niet en zet er geen bitcoin op. Neem via de officiële website contact op met de fabrikant en meld de zending.

Is een hardware wallet nog steeds veilig na zo’n lek?

Het lek betreft de webwinkel, niet de werking van het apparaat. Keystone noemt alleen de eigen webwinkel als plek van het incident. Een hardware wallet houdt je sleutels offline, ook als gegevens van de winkel buiten komen. Het gaat om wat je daarna doet met berichten die binnenkomen.

Bronnen

• Keystone, officiële post op X, 24 oktober 2026: https://x.com/KeystoneWallet/status/2114054080754770137
• Crypto Briefing (secundair), “Keystone Hardware Wallet says website breach exposed customer data”: https://cryptobriefing.com/keystone-data-breach-exposed-2026/