Fabricante da carteira Bitcoin Keystone recolhe dispositivos após chave roubada abrir caminho para falsificações

A Keystone, fabricante de carteiras de hardware Bitcoin que mantêm offline os códigos secretos que controlam suas criptomoedas, afirmou na segunda-feira que destruirá 18.835 dispositivos não vendidos depois que atacantes obtiveram a chave que comprova que seu hardware é genuíno. A empresa também suspendeu o envio de todos os pedidos não enviados de seu site.

Para os compradores, o risco é uma carteira falsificada que parece nova em folha e passa na própria verificação da Keystone, porque o atacante obteve a chave na qual a verificação se baseia. Um criminoso poderia então vender esse dispositivo a alguém que carregue nele suas economias reais.

“Se for exposta, um atacante poderia usá-la para produzir dispositivos falsificados que passem nas verificações de autenticação”, disse a Keystone em seu comunicado. “Esses dispositivos poderiam então ser vendidos ou enviados a clientes, que podem usá-los sem saber como produtos genuínos, resultando potencialmente em roubo de ativos.”

A Keystone chama isso de chave WebAuth, um código secreto gravado em cada dispositivo na fábrica para que uma página no site da empresa possa confirmar que o hardware é real. Ela não pode ser apagada ou reescrita, e as 18.835 unidades em estoque que a possuem estão sendo destruídas em vez de vendidas.

A Keystone disse inicialmente no sábado que um terceiro havia obtido informações de envio de clientes. O comunicado de segunda-feira acrescentou a chave roubada e uma contagem de 25.964 registros de compradores afetados, mas não diz quem é o responsável nem quando o atacante entrou pela primeira vez.

O incidente afetou registros da loja Shopify da Keystone, a plataforma de comércio eletrônico que cuidava de suas vendas online. A Keystone diz que 51.083 registros de compradores foram envolvidos, mas 25.119 já tiveram suas informações pessoais apagadas, deixando 25.964 de 2024 a 2026 que ainda continham nomes, detalhes de contato, endereços de envio e informações de pedidos. Compras feitas pela Amazon e outros canais não foram afetadas.

BitcoinBTC · USD

$80.605−2,34%

20 de out.22 de out.24 de out.26 de out.27 de out.

$84,8 mil$83,1 mil$81,3 mil$79,6 mil

Máxima 24hMáxima$80.573

Mínima 24hMínima$79.416

VolVol$1,0 bi

→

Compre Bitcoin com USDT

Powered by Jupiter

Dados de preço por CoinGeckoCoinGeckoMais notícias e projeções de Bitcoin →

Parte desses dados já deveria ter sido excluída. A política da Keystone era apagar os registros dos compradores após 180 dias, e a ferramenta automatizada de exclusão em massa que ela criou para essa tarefa não funcionava de forma confiável.

“Algumas tarefas de exclusão falharam, e não detectamos nem resolvemos essas falhas a tempo, resultando na retenção de certas informações pessoais além do período permitido”, disse a Keystone. “Não cumprimos nosso compromisso de apagar os dados dos clientes dentro do prazo, e assumimos a responsabilidade por essa falha.”

As listas de clientes são um ponto fraco recorrente para os fabricantes de carteiras. O vazamento da Ledger em 2020 acabou atingindo cerca de 292.000 clientes, e aqueles que receberam e-mails de phishing depois disso temeram poder se tornar alvos de invasões domiciliares.

A Trezor e a SafePal divulgaram cada uma violações de dados de clientes em agosto, afetando 13.689 clientes e cerca de 39.798 clientes, respectivamente.

Nomes e endereços importam por causa dos ataques de chave inglesa, nos quais criminosos usam ameaças ou violência para forçar os proprietários a entregar suas criptomoedas. A Chainalysis contabilizou 46 ataques violentos no primeiro semestre de 2026, com mais de US$ 30 milhões roubados.

O fabricante também alertou sobre golpistas que oferecem “migração de ativos”, “verificação de carteira” ou “assistência em investigação”.

As vendas no site da Keystone passarão a ser por pré-encomenda até que a produção de dispositivos com uma nova chave seja concluída, e a empresa afirma ter enviado relatórios às autoridades na UE, no Reino Unido e em outras jurisdições.

A Keystone reduziu seu período de retenção de dados de clientes de 180 dias para 90 e pediu à Shopify, em 24 de outubro, que apagasse todos os dados de compradores em atraso, um processo com um período de espera de 10 dias. A empresa espera que o apagamento seja concluído em 3 de novembro.