A fabricante de carteiras físicas Keystone reconheceu, em 26 de outubro de 2026, que a violação de seu site foi além de um vazamento de dados de clientes. O invasor também obteve a chave WebAuth - a credencial digital incorporada aos dispositivos da Keystone durante a fabricação e usada na verificação de autenticidade online.
Como a violação da Keystone aconteceu
A Keystone detectou acesso suspeito ao seu site em 20 de outubro de 2026. O invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de terceiros incorporada ao site e escalou privilégios até o nível necessário. A empresa cortou o acesso do invasor no mesmo dia e corrigiu a vulnerabilidade.
O primeiro comunicado público só saiu em 24 de outubro - naquele momento, a Keystone relatou o roubo de dados de contato de clientes e endereços de entrega. Dois dias depois, em 26 de outubro, ela anunciou uma perda muito mais grave - a chave de autenticação de dispositivos WebAuth.
Os dados dos clientes vazaram por causa de uma falha processual da própria Keystone. A loja Shopify da empresa mantinha 51,083 registros de compradores. Segundo sua política de retenção de 180 dias, 25,119 deles deveriam ter sido excluídos - e foram. Os 25,964 registros restantes, datados de 2024 a 2026, ficaram ao alcance do invasor: a ferramenta automatizada de exclusão em massa funcionou de forma não confiável, algumas operações travaram, e a Keystone não percebeu isso a tempo.
Paralelamente, o invasor pode ter tido acesso a 12,873 registros de checkout da Shopify - dados de compras não finalizadas. A Keystone já solicitou à Shopify que exclua registros de checkout retidos além de 30 dias.
A ameaça de falsificação: o que isso significa para os proprietários da Keystone
A chave WebAuth não é apenas uma senha. Ela é incorporada a um dispositivo durante a fabricação e não pode ser substituída depois. Isso significa que os 18,835 dispositivos no estoque da Keystone que carregam a chave vazada não podem mais ser tornados seguros - eles serão destruídos. Os envios pelo site estão suspensos, e a empresa está migrando para um modelo de pré-venda.
Para os compradores, o cenário se divide em torno da data de 20 de outubro. Dispositivos entregues antes dessa data são seguros - sua verificação de autenticidade ainda merece confiança. Dispositivos entregues após 20 de outubro estão em questão: mesmo que tal dispositivo passe na verificação, a Keystone não pode garantir que não seja uma falsificação. Esses proprietários foram solicitados a entrar em contato com o suporte para verificação adicional antes de usar o dispositivo.
A produção de novos dispositivos com uma chave de autenticação diferente já está em andamento. Os envios só serão retomados quando esses dispositivos estiverem prontos. A Keystone está reduzindo a retenção de dados de clientes de 180 para 90 dias.
Chaves privadas, seed phrases, senhas de carteiras, informações bancárias e números de documentos não foram atingidos pelo incidente. Os dispositivos Passport (a segunda linha de produtos da Keystone) não foram afetados. A empresa ainda não registrou compradores afetados ou casos de criptomoedas roubadas relacionados ao incidente.
A Keystone na sequência de incidentes com carteiras físicas de 2026
A violação da Keystone se tornou o quarto grande incidente no setor de carteiras físicas nos últimos quatro meses. Cada ataque tem sua própria natureza, mas o vetor é compartilhado - a cadeia de suprimentos e a infraestrutura em torno dos dispositivos.
Em julho de 2026, a fabricante da Coldcard, Coinkite, alertou os usuários sobre uma falha de firmware - os dispositivos geravam frases-semente com entropia reduzida, e invasores usaram isso para drenar milhões de dólares. Em agosto, a Trezor divulgou uma violação na sua parceira de envios ShipMonk; o número inicial de clientes afetados foi 14,000, e em setembro já havia crescido para 80,000. Nesse mesmo agosto, a SafePal reportou um comprometimento do seu plug-in de rastreamento de pedidos - o vazamento atingiu cerca de 40,000 compradores. Em outubro, a Ledger pediu a revendedores do sudeste asiático e de Hong Kong que suspendessem as vendas após relatos de que dispositivos comercializados na região continham implantes não autorizados capazes de interceptar frases-semente.
