Sim, uma carteira falsa agora pode passar por verdadeira, e é exatamente por isso que a Keystone está destruindo 18.835 dispositivos em vez de vendê-los. O ataque não roubou diretamente os fundos dos usuários. Ele roubou a chave WebAuth que a Keystone incorpora em todos os dispositivos na fábrica para provar que são genuínos. Essa chave não pode ser apagada nem reescrita depois de instalada. Qualquer pessoa com uma cópia poderia fabricar carteiras Keystone falsas que passariam com sucesso pela verificação online da própria Keystone. Um comprador conectaria um dispositivo falso, faria a verificação, veria que foi aprovado e presumiria que era seguro. A orientação da Keystone é fundamental. Os dispositivos entregues antes de 20 de outubro estão em ordem se passarem pela autenticação. Mas, para os dispositivos recebidos depois de 20 de outubro que ainda tenham a chave antiga, a Keystone afirma que não pode descartar totalmente a possibilidade de serem falsificados, mesmo que passem na verificação. Os proprietários desses dispositivos devem entrar em contato com o suporte da Keystone para uma verificação adicional antes de usá-los. A violação em si ocorreu devido a uma vulnerabilidade em uma ferramenta de monitoramento de terceiros na loja da Keystone na Shopify. Ela expôs 25.964 registros de compradores de 2024 a 2026, incluindo nomes, dados de contato e endereços de entrega. A Keystone também admitiu que sua ferramenta automatizada de exclusão de dados estava falhando silenciosamente, de modo que alguns registros foram mantidos além do limite prometido de 180 dias. A empresa está reduzindo o período de retenção para 90 dias e espera concluir as exclusões atrasadas até 3 de novembro.