A Keystone anunciou na segunda-feira (26) que vai destruir 18.835 carteiras físicas de criptomoedas mantidas em estoque, após descobrir que um invasor roubou a chave digital usada para comprovar a autenticidade dos aparelhos. A fabricante também suspendeu o envio de pedidos pendentes e confirmou a exposição de informações pessoais de compradores.
O ataque foi detectado em 20 de outubro, quando sistemas de monitoramento identificaram acessos não autorizados ao site oficial da empresa. Segundo a Keystone, os invasores exploraram uma vulnerabilidade em uma ferramenta de terceiros para ampliar seus privilégios de acesso e obter a chave de autenticação WebAuth.
Essa chave é gravada nos dispositivos durante a fabricação e não pode ser apagada ou substituída posteriormente. Embora não participe da geração de frases de recuperação, da criação de chaves privadas ou da assinatura de transações, ela permite verificar se uma carteira é genuína.
Com a chave roubada, criminosos poderiam fabricar aparelhos falsificados capazes de passar pela verificação oficial da Keystone. Um comprador poderia, assim, acreditar que recebeu um dispositivo legítimo e acabar expondo seus criptoativos. A empresa não confirmou a identificação de unidades falsificadas produzidas com a chave comprometida.
Para eliminar esse risco nos novos produtos, a fabricante decidiu descartar todo o estoque associado à chave antiga. A produção passará a utilizar uma credencial substituta, enquanto as vendas pelo site funcionarão em regime de pré-venda, sem data confirmada para a retomada dos envios.
A Keystone afirmou que frases de recuperação, chaves privadas e credenciais das carteiras não foram comprometidas. Aparelhos recebidos antes de 20 de outubro continuam considerados legítimos caso tenham passado pela autenticação. Já os clientes que receberam unidades com a chave antiga após essa data devem procurar o suporte para uma verificação adicional, mesmo que o teste habitual indique autenticidade.
Falha na exclusão de dados ampliou o vazamento
A investigação também revelou problemas no armazenamento de informações pessoais. Dos 51.083 registros de compras examinados na loja operada pela Shopify, 25.964 ainda continham dados de clientes, incluindo nomes, contatos, endereços de entrega e detalhes de pedidos realizados entre 2024 e 2026.
Outros 12.873 registros de compras não concluídas também continham informações pessoais.
O problema expôs uma falha em uma promessa anterior da fabricante. A Keystone afirmava excluir informações de envio após 180 dias, mas reconheceu que sua ferramenta automatizada de exclusão apresentou erros que não foram identificados a tempo. Como consequência, determinados registros permaneceram armazenados além do prazo previsto.
A empresa assumiu a responsabilidade pela falha e reduziu o período de retenção de dados de 180 para 90 dias. Também solicitou à Shopify a exclusão dos registros antigos, com conclusão prevista para 3 de novembro.
Além de informar individualmente os clientes afetados, a Keystone alertou para possíveis tentativas de fraude envolvendo falsos pedidos de devolução de aparelhos, migração de carteiras ou verificação de ativos. A fabricante esclareceu que não está realizando um recolhimento de dispositivos e que os usuários não precisam transferir seus criptoativos apenas por causa do incidente.
