A Keystone revelou no sábado, dia 24 de outubro, que o seu site tinha sofrido um acesso não autorizado, expondo dados de contacto de clientes e moradas de envio associadas a encomendas. A empresa afirmou que as chaves privadas e as frases de recuperação não foram expostas no incidente. A revelação torna a Keystone a sexta marca de carteiras físicas a reportar um incidente de segurança em 2026, um ano que tem posto à prova o setor em que os detentores europeus de criptomoedas confiam para manter os seus ativos offline.
A lista de fabricantes afetados abrange já grande parte do mercado. A Ledger foi a primeira, depois de o seu fornecedor de comércio eletrónico, a Global-e, ter sofrido uma fuga de dados reportada em 5 de janeiro, expondo nomes de clientes, dados de contacto, moradas de envio e detalhes de encomendas. A Ledger voltou às notícias em 10 de outubro, quando confirmou um caso de adulteração física envolvendo um dispositivo vendido através de um distribuidor. A unidade adulterada continha um componente não autorizado capaz de capturar as palavras de recuperação durante a configuração e transmiti-las a terceiros, um cenário que, se explorado em larga escala, comprometeria a promessa central de uma carteira física.
Fugas de dados na Trezor e na SafePal
A Trezor reportou uma violação ligada ao seu parceiro de logística ShipMonk em 13 de agosto, um alcance mais tarde alargado para cobrir 80.689 clientes afetados. No mesmo mês, em 16 de agosto, a SafePal revelou uma vulnerabilidade no seu sistema de rastreamento de encomendas que expôs dados de aproximadamente 39.798 clientes, incluindo nomes, moradas, informações de contacto e detalhes de compra.
A Trezor sofreu também um acesso não autorizado à sua conta de marketing na Brevo, reportado em agosto, afetando os dados de dezenas de milhares de clientes. A empresa associou o incidente a campanhas de phishing subsequentes, nas quais os atacantes tentaram enganar os utilizadores para que entregassem informações sensíveis sobre as suas carteiras. A BitBox reportou um incidente semelhante relacionado com a Brevo em 24 de setembro, afirmando que os atacantes descarregaram endereços de email de subscritores, mais tarde usados para distribuir mensagens de phishing. A BitBox afirmou que os seus dispositivos e sistemas internos não foram comprometidos.
Uma falha de 116 milhões de dólares na COLDCARD
O incidente financeiramente mais danoso do ano envolveu a COLDCARD. Em 30 de julho, a empresa revelou uma vulnerabilidade relacionada com a geração criptográfica de sementes, resultante de aleatoriedade insuficiente que poderia, em certas condições, permitir a reconstrução de chaves privadas e o roubo de fundos. As perdas atribuíveis à falha foram estimadas em cerca de 116 milhões de dólares.
No conjunto, os incidentes ilustram dois pontos de pressão distintos sobre os fornecedores de carteiras físicas: os fornecedores terceiros que tratam dados de logística e marketing, e a integridade criptográfica e física dos próprios dispositivos. Para os utilizadores europeus, que têm recorrido cada vez mais a carteiras físicas perante o escrutínio regulatório sobre as corretoras custodiais, o padrão sublinha que a autocustódia desloca o risco em vez de o eliminar.
