Resumo:
A Keystone detetou um acesso não autorizado ao site em 20 de outubro e confirmou a exposição de dados de clientes em 23 de outubro.
Os dados expostos incluíam nomes de clientes, endereços de e-mail, números de telefone, endereços de entrega, produtos e preços.
A Keystone afirmou que os dados de pagamento, as palavras-passe das carteiras, as chaves privadas e as frases de recuperação não foram comprometidos.
A Keystone ainda não identificou o atacante, o número de clientes afetados nem o período durante o qual o site esteve acessível.
A Keystone Hardware Wallet confirmou que o acesso não autorizado ao seu site expôs nomes de clientes, dados de contacto, endereços de entrega e registos de compras. A violação, detetada em 20 de outubro de 2026, foi confirmada três dias depois, após uma análise da atividade da interface de programação de aplicações da Shopify.
Num comunicado de 24 de outubro, o fabricante de carteiras de hardware afirmou que um terceiro não autorizado tinha obtido informações sobre encomendas. A empresa bloqueou o acesso, corrigiu a vulnerabilidade identificada e abriu uma investigação, mas não divulgou o número de clientes afetados. O comunicado não indicou quantas transações foram afetadas.
Keystone confirma exposição de dados de clientes após acesso não autorizado ao site
A Keystone Hardware Wallet confirmou que um terceiro obteve informações de envio e de encomendas de clientes após aceder sem autorização ao seu site oficial. O incidente foi detetado a 20 de outubro,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 de outubro de 2026
O incidente expôs registos associados à compra de dispositivos de armazenamento de criptomoedas, e não informações guardadas nas próprias carteiras. Os registos comprometidos incluíam os produtos comprados e os respetivos preços, bem como as identidades dos clientes e os locais de entrega. As informações expostas associavam a compra de dispositivos a clientes identificáveis, mas não foi comunicada qualquer violação das credenciais das carteiras.
Intrusão no site da Keystone expõe encomendas e moradas de clientes
De acordo com a política de privacidade da empresa, a Shopify gere a loja online do fabricante e processa as informações das encomendas. A política também refere que os registos são apagados após 180 dias se os clientes não fizerem outra encomenda.
A disposição relativa à eliminação não especifica quais as compras anteriores incluídas nesta violação. No entanto, o comunicado não identificou as datas das compras afetadas nem determinou durante quanto tempo foi possível o acesso não autorizado.
Os investigadores não atribuíram publicamente a intrusão nem explicaram o método exato utilizado para aceder ao site. Os clientes afetados estavam a ser notificados por email. A empresa também afirmou que seria divulgado um relatório mais completo sobre o incidente, mas não indicou uma data de publicação.
A Keystone afirmou que os números dos cartões de pagamento, os dados das contas bancárias, as palavras-passe das carteiras, as chaves privadas e as frases de recuperação não foram expostos. As suas carteiras assinam transações offline, utilizando a comunicação por códigos QR para limitar as ligações diretas a dispositivos com acesso à Internet.
As chaves privadas continuam seguras enquanto se intensificam os alertas de phishing
Ainda assim, a empresa alertou os clientes para ofertas fraudulentas de reembolso, esquemas de substituição de dispositivos e mensagens que afirmam prestar ajuda com encomendas. Estas abordagens podem surgir por email, chamadas telefónicas ou mensagens de texto.
Os clientes foram aconselhados a não partilhar frases de recuperação ou chaves privadas, a não introduzir frases de recuperação em dispositivos de substituição inesperados e a não seguir ligações suspeitas. A empresa também recomendou que confirmassem as informações através dos canais de comunicação oficiais.
Esta violação junta-se a outros incidentes de dados de clientes envolvendo vendedores de carteiras de hardware. Em agosto, a Trezor comunicou uma violação no prestador de serviços de envio ShipMonk e, posteriormente, identificou cerca de 67 000 clientes adicionais afetados nos EUA.
A SafePal também comunicou uma falha de autorização no acompanhamento de encomendas que afetou 39 798 clientes. Nesse caso, foram expostos dados pessoais e registos de compras, sem que as credenciais das carteiras fossem diretamente comprometidas.
Em todos estes incidentes, as informações expostas encontravam-se em sistemas de encomendas ou de expedição, e não nos mecanismos de assinatura das carteiras. A Keystone ainda não divulgou publicamente o número de clientes afetados, o método de acesso utilizado nem o período durante o qual os dados ficaram expostos.
O artigo Keystone confirma violação de dados de clientes após acesso não autorizado ao site foi publicado originalmente em Blockonomi.