Kunci ini ditulis ke dompet semasa penghasilan, dan tidak boleh dihapus atau ditulis semula. Syarikat menjamin bahawa kunci ini tidak digunakan untuk menghasilkan frasa seed, mencipta kunci peribadi, atau menandatangani transaksi.
Namun, apabila penyerang menguasai kunci, mereka boleh mencipta peranti palsu yang berjaya lulus pengesahan autentikasi di laman web Keystone. Jika peranti palsu ini sampai ke tangan pelanggan yang menganggapnya sebagai produk asli Keystone, pelanggan tersebut akan kehilangan aset kripto mereka.
Keystone sepenuhnya menghentikan penggunaan kunci lama. Semua peranti baru akan dikeluarkan dengan kunci autentikasi baharu. Syarikat berjanji bahawa 18 835 dompet keras yang disimpan di gudang dan mengandungi kunci yang telah dipaparkan akan dimusnahkan dan tidak akan dijual. Keystone telah menghentikan penghantaran semua peranti yang belum dibayar yang ditempah melalui laman web rasmi, dan telah mengalihkan jualan ke mod pra-tempahan — sehingga pengeluaran peranti dengan kunci baharu dipulihkan.
20 Oktober, sistem pemantauan Keystone menangkap aktiviti mencurigakan di laman web. Seseorang yang tidak dikenali memanfaatkan kelemahan dalam alat pemantauan data. Akibat insiden tersebut, data peribadi 25,964 pembeli yang membuat pesanan di platform Shopify dari tahun 2024 hingga 2026 telah dikompromikan. Nama, maklumat hubungan, alamat penghantaran, dan maklumat pesanan berada dalam akses awam. Untungnya, penyerang tidak mendapat akses kepada frasa seed, kunci peribadi, dan data pembayaran pengguna.
Menurut dasar polisi dalam Keystone, data pembeli harus dihapus selepas 180 hari, tetapi alat penghapusan berautomasi gagal berfungsi dengan betul, kata perwakilan syarikat. Mereka mengakui bahawa data yang disusupi tidak dihapus pada masanya. Perompak mendapat akses kepada 12 873 rekod pesanan yang belum selesai, yang juga mengandungi nama, maklumat hubungan, dan alamat penghantaran.
Peranti yang dihantar sebelum 20 Oktober, pengilang mencadangkan untuk dianggap boleh digunakan — jika ia lulus pengesahan keaslian. Pembeli yang menerima dompet dengan kunci lama selepas 20 Oktober digalakkan menghubungi perkhidmatan pelanggan untuk pengesahan tambahan. Walaupun peranti lulus autentikasi, kemungkinan ia adalah palsu tidak boleh diabaikan.
Syarikat mengumumkan bahawa ia tidak akan meminta pemilik dompet untuk mengembalikan peranti. Mana-mana pihak yang meminta penghantaran dompet untuk ditukar akan dinyatakan sebagai penipu.
Sebelum ini, pengeluar peranti dompet kripto besar lain, Ledger, akui bahawa satu kumpulan perompak secara sengaja membeli peranti tersebut. Penjenayah merompak dompet dan memasang modul tersembunyi untuk merampas frasa sida. Dompet dengan modul mata-mata muncul bahkan di pasaran Russia Ozon.