Kunci ini ditulis ke dompet selama proses produksi, dan tidak dapat dihapus atau ditimpa. Perusahaan menjamin bahwa kunci ini tidak digunakan untuk menghasilkan frase seed, membuat kunci pribadi, atau menandatangani transaksi.
Namun, setelah menguasai kunci, penyerang dapat membuat perangkat palsu yang berhasil melewati otentikasi di situs Keystone. Jika perangkat palsu semacam itu sampai ke tangan pelanggan yang menganggapnya sebagai produk asli Keystone, pelanggan tersebut akan kehilangan aset kripto mereka.
Keystone sepenuhnya menghentikan penggunaan kunci lama. Semua perangkat baru akan dirilis dengan kunci otentikasi baru. Perusahaan menjanjikan bahwa 18.835 dompet perangkat keras di gudang yang berisi kunci yang dikompromikan akan dihancurkan dan tidak akan dipasarkan. Keystone menangguhkan pengiriman semua perangkat yang belum dibayar yang dipesan melalui situs resmi, dan mengalihkan penjualan ke mode pre-order—hingga produksi perangkat dengan kunci baru dipulihkan.
20 Oktober, sistem pemantauan Keystone menangkap aktivitas mencurigakan di situs web. Seorang pihak tak dikenal memanfaatkan kerentanan dalam alat pemantauan data. Akibat insiden ini, data pribadi 25.964 pembeli yang melakukan pesanan di platform Shopify dari tahun 2024 hingga 2026 dikompromikan. Nama, data kontak, alamat pengiriman, dan informasi pesanan tersedia secara terbuka. Untungnya, penyerang tidak mendapatkan akses ke frase seed, kunci pribadi, dan data pembayaran pengguna.
Menurut kebijakan internal Keystone, data pelanggan harus dihapus dalam waktu 180 hari, namun alat otomatis untuk penghapusan massal gagal berfungsi dengan benar, demikian penjelasan perwakilan perusahaan. Mereka mengakui bahwa data yang dikompromikan tidak dihapus tepat waktu. Peretas mendapatkan akses ke 12.873 catatan pesanan yang belum selesai, yang juga berisi nama, data kontak, dan alamat pengiriman.
Perangkat yang dikirim sebelum 20 Oktober, produsen menyarankan untuk dianggap layak digunakan — jika mereka lulus verifikasi keaslian. Pembeli yang menerima dompet dengan kunci lama setelah 20 Oktober disarankan untuk menghubungi layanan pelanggan untuk verifikasi tambahan. Bahkan jika perangkat lulus otentikasi, kemungkinan itu adalah palsu tidak dapat diabaikan.
Perusahaan mengumumkan bahwa tidak akan meminta pemilik dompet untuk mengembalikan perangkat. Siapa pun yang meminta pengiriman dompet untuk penggantian dinyatakan sebagai penipu.
Sebelumnya, produsen perangkat keras dompet kripto besar lainnya, Ledger, akui bahwa sekelompok peretas secara khusus membeli perangkat tersebut. Para penjahat membuka dompet dan memasang modul tersembunyi untuk menangkap frasa seed. Dompet dengan modul mata-mata muncul bahkan di pasar daring Rusia Ozon.