O fundador da OneKey, Yishi Wang, comprometeu-se a eliminar os dados dos clientes no prazo de 30 dias, após a admissão de falha da Keystone, fabricante rival de carteiras de hardware, no seu sistema de eliminação de dados em 180 dias, na sequência de uma violação que expôs os registos de quase 26 000 compradores.
O centro de ajuda da Keystone indicou que a eliminação definitiva dos registos dos utilizadores é da responsabilidade da Shopify. Essa divulgação revela uma falha de segurança ao nível das lojas Shopify e das empresas de logística, fora do controlo de fabricantes de carteiras como a OneKey e a Keystone, apesar do compromisso da primeira de eliminar os dados no prazo de 30 dias.
Porque é que a OneKey está a reduzir o período de retenção de dados
Yishi Wang, da OneKey, confirmou na terça-feira que a fabricante de carteiras físicas está auditando o próprio sistema de segurança após violações recentes e ataques à cadeia de abastecimento terem exposto falhas de segurança no setor em que atua.
Wang enfatizou que a medida é preventiva e escreveu que «a OneKey NÃO sofreu um incidente de segurança». A decisão de limitar a retenção de dados a 30 dias é, na verdade, uma resposta direta ao que correu mal noutros casos.
A razão para o período mais curto de retenção de dados é que, quanto mais tempo um fornecedor guarda os dados dos clientes, maior é o volume de dados que pode ser exposto em caso de violação.
O que causou a violação de segurança da Keystone?
A Keystone revelou que o sistema que elimina automaticamente os dados dos clientes no fim do período de retenção de 180 dias deixou de funcionar sem que nenhum alerta fosse acionado. «Não cumprimos o nosso compromisso de eliminar os dados dos clientes dentro do prazo e assumimos a responsabilidade por esta falha», afirmou a empresa.
Numa análise de 51 083 registos de compradores do Shopify, a Keystone constatou que 25 964 ainda continham dados pessoais, nomes, moradas de envio, dados de contacto e históricos de compras. Ao que parece, os dados que remontavam a 2024 continuavam armazenados, muito para além do limite de 180 dias que a empresa salientou depois de os clientes da Ledger terem tomado conhecimento de uma fuga de dados no seu parceiro de comércio eletrónico Global-e, em janeiro de 2026.
Os investigadores encontraram dados sensíveis noutros 12 873 registos de compras não pagas.
Em resposta, a Keystone reduziu agora o período de retenção para 90 dias.
A Keystone revelou também, a 26 de outubro, que os atacantes roubaram a chave WebAuth que os seus dispositivos usam para provar que são genuínos. A empresa atribuiu a invasão a uma falha numa ferramenta de monitorização de terceiros que permitiu aos intrusos elevar o nível de acesso. A Keystone detetou a atividade pela primeira vez a 20 de outubro.
Como a chave é gravada em cada dispositivo durante o fabrico e não pode ser substituída, a Keystone planeia destruir todas as 18 835 unidades em inventário que a contêm. As novas carteiras terão uma chave substituta.
A empresa suspendeu os envios de encomendas pendentes feitas no site e passou a aceitar pré-encomendas.
As promessas de eliminação só são tão fiáveis quanto os parceiros que guardam os dados
É importante notar que os fabricantes de carteiras físicas não são os únicos a guardar dados dos clientes. As plataformas de comércio eletrónico e os parceiros de envio também lidam com nomes, moradas e históricos de encomendas dos clientes, e é nesse nível que ocorreu a maioria das violações recentes.
A fuga de dados da Trezor afetou 81 000 clientes depois de o seu parceiro de envio, a ShipMonk, não ter eliminado os registos, apesar de repetidas garantias por escrito. A SafePal expôs cerca de 39 798 clientes devido a uma falha no rastreamento de encomendas e, desde então, reduziu o período de retenção para 90 dias. A Ledger confirmou que dispositivos revendidos pela CryptoBilis escondiam chips que capturavam frases de recuperação. A Cryptopolitan, citando investigadores de blockchain, estimou as perdas em mais de 86 milhões de dólares.
Se está a ler isto, já está um passo à frente. Continue assim com a nossa newsletter.