O fabricante de carteiras de hardware Keystone confirmou que hackers roubaram uma chave de segurança utilizada para autenticar os seus dispositivos, um incidente que, segundo a empresa, permitiu aos atacantes produzir carteiras contrafeitas capazes de passar por autênticas durante o processo de autenticação. O aviso foi inicialmente publicado pela Keystone numa mensagem no X.

A empresa tinha inicialmente reportado apenas o roubo de dados de clientes. Entretanto, reconheceu a implicação mais grave da violação: a chave roubada compromete o mecanismo em que os clientes confiam para verificar que um dispositivo não foi adulterado.

Segundo a Keystone, os atacantes exploraram uma vulnerabilidade numa ferramenta externa de monitorização utilizada no seu site para alargar os seus privilégios de acesso dentro dos sistemas da empresa. Esse acesso acabou por conduzir ao comprometimento da chave de autenticação.

Milhares de dispositivos a serem destruídos

Em resposta, a Keystone afirmou que vai destruir 18.835 dispositivos atualmente em stock no seu armazém. As entregas dos modelos afetados foram suspensas e só serão retomadas quando forem produzidos novos dispositivos com uma chave de substituição.

A Keystone afirmou que as carteiras de hardware fabricadas e entregues antes do ataque, que a empresa situa a 20 de outubro, continuam a ser consideradas seguras. Para as unidades enviadas após essa data, a empresa diz não poder garantir a autenticidade, e está a instar os clientes afetados a contactarem o apoio ao cliente para verificação adicional.

A Keystone procurou tranquilizar os atuais proprietários, afirmando que não é necessário devolver fisicamente os dispositivos. "Não vamos pedir-lhe que devolva o seu dispositivo", disse a empresa.

Dados de clientes também expostos

Separadamente, a Keystone revelou que os atacantes podem ter roubado 25.964 registos de dados de compradores referentes ao período entre 2024 e 2026, havendo ainda mais 12.873 registos associados a encomendas incompletas potencialmente também afetados. A empresa afirmou que uma falha no sistema de eliminação de dados impediu que certos dados de clientes fossem removidos a tempo, alargando a janela de exposição.

"Falhámos na nossa obrigação de eliminar os dados dos clientes atempadamente e assumimos a responsabilidade por isso", afirmou a Keystone. Em resposta, a empresa está a reduzir o período de retenção de dados pessoais de clientes de 180 para 90 dias, e disse que os dados em atraso armazenados na Shopify serão eliminados até 3 de novembro.

Parte de um padrão mais amplo

O incidente da Keystone surge na sequência de outros problemas de segurança recentes entre fabricantes de carteiras de hardware. Uma vulnerabilidade no firmware da Coldcard tornou-se conhecida em julho de 2026, através da qual os atacantes conseguiam prever frases-semente; estima-se que entre 1.300 e 1.800 bitcoins tenham sido roubados em resultado disso. A Ledger também sofreu recentemente um ataque, com as cadeias de abastecimento do fabricante visadas.

A sucessão de incidentes sublinha os desafios que os fabricantes de carteiras de hardware enfrentam para proteger não só os seus dispositivos, mas também as cadeias de abastecimento e a infraestrutura digital que os rodeia, numa altura em que estas carteiras são comercializadas como a alternativa mais segura ao armazenamento de ativos cripto em software.