A Keystone orientou os usuários a atualizar o Nexus App para a versão 1.3.7 depois que um ataque cibernético interrompeu alguns dos serviços do aplicativo.
Esta é a terceira divulgação de segurança feita pela fabricante de carteiras de hardware em cerca de duas semanas.
O ataque ao Nexus App e a correção na versão 1.3.7
A Keystone publicou no X na sexta-feira, 6 de novembro, que alguns serviços do Nexus App foram invadidos em um ataque cibernético e que vários usuários não conseguiram usar o aplicativo por um período.
A empresa disse que a equipe respondeu ao incidente e reforçou a segurança dos servidores. Após a investigação, a Keystone escreveu que “não encontrou evidências de que os ativos ou as informações pessoais dos usuários tenham sido afetados”.
A Keystone pediu desculpas pela interrupção e orientou os usuários a atualizarem o aplicativo para a versão 1.3.7. Também acrescentou que os usuários devem confirmar se “Yanssie HK Limited” aparece como desenvolvedora do aplicativo que estão baixando. A empresa disse que qualquer outro aplicativo sem essa desenvolvedora não é dela.
Uma violação de segurança em uma loja expôs 25.964 registros de compradores
A primeira divulgação ocorreu quando a Keystone admitiu que um invasor havia acessado sua loja virtual, que funciona com a Shopify.
O acesso não autorizado foi detectado em 20 de outubro. A empresa confirmou em 23 de outubro que um terceiro havia extraído dados de envio de clientes e tornou essa informação pública no dia seguinte.
Os registros roubados continham nomes, dados de contato, endereços de envio e informações sobre os pedidos, como quais dispositivos os compradores adquiriram.
A empresa disse que cartões de pagamento, dados bancários, frases de recuperação e chaves privadas não foram expostos.
Foi noticiado que, entre os registros roubados, havia 25.964 registros de compradores referentes a compras feitas de 2024 a 2026. Como medida de precaução, a empresa também contabilizou 12.873 registros de finalizações de compra não pagas.
Os endereços residenciais faziam parte do vazamento, o que levou a pesquisadora de segurança Taylor Monahan a alertar que isso poderia colocar os usuários em risco de “ataques com chave inglesa”, ameaças físicas usadas para forçar as pessoas a entregar suas criptomoedas.
A plataforma de segurança cripto Certik contabilizou 52 ataques desse tipo no primeiro semestre de 2026. No ano anterior, foram registrados apenas 39 incidentes desse tipo.
18.835 carteiras destinadas à destruição
Poucos dias após divulgar o roubo de registros de usuários, a Keystone voltou a ser notícia ao afirmar que o mesmo invasor responsável pelo primeiro ataque também havia obtido a chave WebAuth, usada pelos dispositivos da empresa para comprovar que são genuínos.
Segundo relatos, o invasor explorou uma falha em uma ferramenta de monitoramento de terceiros no site para elevar seus privilégios e, em seguida, obteve tanto os dados dos clientes quanto a chave.
O principal problema é que a chave é gravada em cada dispositivo durante a fabricação e não pode ser reescrita.
Qualquer pessoa com a chave poderia fabricar um dispositivo falso que passasse pela verificação de autenticidade da própria Keystone. A Keystone decidiu descartar todas as 18.835 unidades não vendidas que continham a chave comprometida.
A empresa disse que uma carteira entregue antes de 20 de outubro e aprovada na verificação é genuína. Quanto às unidades com a chave antiga recebidas após essa data, a empresa “não pode descartar completamente a possibilidade de que sejam falsificadas” e orientou os proprietários a entrarem em contato com o suporte antes de usá-las.
Até o momento, a empresa não relatou dispositivos falsificados nem roubos.
Período de retenção reduzido para 90 dias após falha de uma ferramenta de exclusão
A Keystone havia anunciado que apagava os dados de envio 180 dias após um pedido. No entanto, clientes relataram ter recebido avisos sobre a violação referentes a compras feitas há mais de dois anos.
A ferramenta automatizada de exclusão da empresa falhou e deixou os registros antigos intactos.
Como resultado, a Keystone reduziu o período de retenção para 90 dias. Também pediu à Shopify que excluísse os dados pessoais mais antigos do que esse prazo; a expectativa é que os registros pendentes sejam removidos até 3 de novembro.
A concorrente OneKey também limitou seu período de retenção a 30 dias após o incidente da Keystone.
Muitos projetos cripto enfrentaram um período difícil em 2026 no que diz respeito a ataques cibernéticos. Os fabricantes de carteiras de hardware também não ficaram de fora.
Em agosto, uma violação de dados que afetou a ShipMonk, uma das parceiras de logística da Trezor, atingiu cerca de 81.000 clientes.
A SafePal expôs dados de cerca de 39.798 pessoas devido a uma falha no rastreamento de pedidos, e a Ledger encontrou chips ocultos em dispositivos revendidos que pesquisadores de blockchain associaram a perdas superiores a US$ 86 milhões.
Não se limite a ler notícias sobre cripto. Entenda-as. Assine nossa newsletter. É grátis.