A Keystone, empresa de carteiras físicas de criptomoedas, revelou que uma violação de segurança em um site expôs dados de entrega e detalhes dos pedidos dos clientes a terceiros não autorizados. O incidente, que, segundo a Keystone, foi identificado no início da semana e confirmado após a análise da atividade da API com a Shopify, pode aumentar o risco de ataques de phishing direcionados e outros golpes.
A divulgação ocorre em meio à crescente preocupação com os chamados “ataques com chave inglesa” no mundo real, uma categoria de crimes em que as vítimas são ameaçadas ou agredidas para serem forçadas a entregar suas criptomoedas. A empresa de segurança CertiK informou que registrou 52 ataques com chave inglesa confirmados em todo o mundo no primeiro semestre de 2026 — acima dos 39 registrados no mesmo período de 2025.
Principais conclusões
A Keystone afirma que os atacantes acederam a informações de envio dos clientes, incluindo nomes, dados de contacto, moradas de entrega e conteúdo das encomendas.
A empresa informou que bloqueou o acesso, corrigiu a vulnerabilidade e abriu uma investigação, tendo também enviado um e-mail aos clientes afetados.
A Keystone não revelou quantos clientes foram afetados, mas a exposição torna mais plausíveis campanhas de phishing direcionadas.
Os clientes questionaram se os dados de encomendas mais antigas foram eliminados de acordo com as afirmações anteriores da Keystone sobre a sua política de retenção.
Os dados da CertiK destacam que os crimes de extorsão física («ataques com chave inglesa») aumentaram de ano para ano, tornando particularmente sensível a exposição de moradas.
O que a Keystone afirma ter sido exposto
A Keystone afirmou que detetou atividade suspeita no início da semana e confirmou a violação na sexta-feira, após analisar a atividade da API em conjunto com a Shopify. Segundo a descrição da empresa, um terceiro não autorizado obteve acesso a informações de envio dos clientes associadas às encomendas, incluindo dados pessoais e de entrega.
Segundo a Keystone, os registos acessíveis incluíam nomes dos clientes, informações de contacto, moradas de entrega e outros dados das encomendas, como os artigos comprados. A Keystone afirmou que bloqueou o acesso não autorizado, corrigiu a vulnerabilidade, iniciou uma investigação e está a contactar os clientes afetados por e-mail.
A Keystone alertou que as informações expostas poderiam ser usadas para facilitar ataques de phishing direcionados — um aumento da probabilidade de ameaça em comparação com burlas genéricas, uma vez que os atacantes podem personalizar as mensagens com dados reais das encomendas.
Porque é que as fugas de moradas são importantes na era das carteiras de hardware
A investigadora de segurança Taylor Monahan manifestou preocupação com a possibilidade de a divulgação de moradas de entrega ir além da fraude digital. Em particular, Monahan sugeriu que saber onde os clientes vivem poderia aumentar o risco de ataques físicos, incluindo crimes destinados a coagir os detentores de carteiras a entregar os seus ativos.
Esta preocupação cruza-se com tendências mais amplas da criminalidade física relacionada com criptoativos. A CertiK, num artigo citado pela Cointelegraph, comunicou 52 ataques com chave inglesa verificados em todo o mundo no primeiro semestre de 2026, mais 33% do que os 39 registados no mesmo período do ano anterior. Estes incidentes envolvem geralmente intimidação, ameaças ou violência destinadas a obrigar os detentores de criptomoedas a entregar os seus fundos.
Embora a Keystone não tenha fornecido detalhes sobre a ocorrência de casos de perseguição física, a combinação da adoção de carteiras de hardware com a exposição de moradas é precisamente o que torna mais urgente o planeamento da segurança no mundo real para os clientes afetados e para o setor em geral.
Dúvidas sobre a política de retenção e os clientes antigos
Para além da própria violação, o incidente suscitou um escrutínio sobre a forma como a Keystone trata os dados antigos dos clientes. Numa publicação de blogue de 2023, a Keystone afirmou ter reduzido o período de retenção dos dados dos clientes para 180 dias, na sequência de incidentes de segurança que afetaram outros fabricantes de carteiras de hardware.
No entanto, alguns clientes afirmam ter recebido notificações da violação apesar de terem comprado os seus dispositivos há mais de dois anos. Na X, um utilizador identificado como «OG DEGEN» afirmou ter recebido uma chamada de um burlão que se fazia passar por agente da autoridade a investigar uma fraude, sugerindo que o atacante tinha acesso a dados pessoais associados a uma encomenda feita à Keystone em 2024. O utilizador afirmou que o interlocutor mencionou informações suficientemente específicas para dar a entender que provinham da compra, e suspeitou que o passo seguinte do burlão seria convencê-lo de que as suas chaves privadas tinham sido expostas e, em seguida, enviar-lhe uma ligação de phishing.
Outro utilizador da X, «trintaetres», também afirmou ter recebido uma notificação por e-mail, apesar de ter comprado o dispositivo há mais de dois anos.
Resposta da Keystone e questões por esclarecer
A Cointelegraph afirmou ter contactado a Keystone para perguntar como poderiam ter sido expostas informações de clientes relativas a compras feitas há mais de 180 dias, tendo em conta as declarações anteriores da empresa sobre a sua política de retenção, e também solicitou informação sobre o número de clientes afetados. A Keystone não respondeu até à publicação do artigo.
A mensagem pública da Keystone reconheceu o impacto e pediu desculpa às pessoas afetadas, mas a empresa não revelou o número de clientes afetados nem forneceu mais detalhes técnicos sobre os sistemas ou conjuntos de dados específicos a que foi acedido, para além das informações de envio e das encomendas. Isto deixa uma questão em aberto para os utilizadores afetados e para a comunidade em geral: se este incidente envolveu dados que ultrapassavam o período de retenção declarado, se a política de retenção foi aplicada de forma diferente na prática a alguns registos de encomendas ou se as informações expostas foram, por algum outro motivo, conservadas durante mais tempo do que os clientes esperavam.
Daqui em diante, investidores e utilizadores estarão atentos a mais informações da Keystone sobre a dimensão do incidente — sobretudo se a empresa conseguir esclarecer como se enquadram as encomendas antigas no seu modelo de retenção —, bem como a quaisquer novas atualizações de segurança. Para os clientes que receberam notificações, a prioridade imediata é encarar com redobrada cautela quaisquer mensagens de seguimento, e-mails de «apoio» ou ligações, e verificar as alegações através dos canais oficiais.
Este artigo foi publicado originalmente com o título Keystone Fault Exposes Hardware Wallet Buyers’ Addresses After Web Breach no Crypto Breaking News — a sua fonte de confiança para notícias sobre cripto, Bitcoin e atualizações da blockchain.