Keystone confirma violação de dados e vai destruir 18.835 hardware wallets em estoque

Segundo a Keystone, o monitoramento detectou acesso incomum ao site oficial em 20 de outubro de 2026. O invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros para escalar privilégios. A empresa desativou funções sensíveis e bloqueou os pontos de acesso no mesmo dia.

O ponto mais grave é técnico. A chave WebAuth é gravada no dispositivo na fabricação, não pode ser apagada nem reescrita e serve só para verificar autenticidade. Ela não participa da geração da frase de recuperação, da derivação de chaves privadas nem da assinatura de transações. Mas, exposta, permite fabricar dispositivos falsos que passam na verificação e poderiam ser vendidos como originais. Por isso a empresa vai destruir as 18.835 unidades em estoque com a chave antiga, suspendeu os envios e migrou para pré-venda até a produção com a nova chave.

Sobre os dados: dos 51.083 registros de compradores da loja Shopify, 25.119 já tinham sido apagados e anonimizados. Restaram 25.964 registros de 2024 a 2026, com nomes, contatos, endereços e pedidos. Houve ainda 12.873 checkouts não concluídos. A política previa apagar dados após 180 dias, mas a ferramenta automatizada de exclusão falhou e as falhas não foram detectadas a tempo. A empresa pediu a exclusão à Shopify em 24 de outubro de 2026, com conclusão prevista para 3 de novembro de 2026, e reduziu a retenção para 90 dias.

Em 27 de outubro de 2026, o CEVIU noticiou "Keystone confirma vazamento de dados de envio de clientes por meio de seu site", com foco em nomes, endereços, contatos e dados de pedidos expostos. O novo comunicado amplia o quadro: traz os números de registros afetados, revela o roubo da chave WebAuth e anuncia a destruição do estoque e a suspensão dos envios.

Para quem usa ou revende hardware wallets, o caso mostra que o risco não está só na custódia das chaves. A cadeia de confiança do dispositivo também conta. Para quem recebeu uma unidade depois de 20 de outubro de 2026 com a chave antiga, passar na autenticação já não basta, segundo a própria empresa. Os dados de endereço expostos também elevam o risco de golpes de phishing e de ameaças físicas direcionadas a detentores de cripto.