TLDR:
- A Keystone detetou acesso não autorizado ao website a 20 de outubro e confirmou a exposição de dados de clientes a 23 de outubro.
- Os registos expostos incluíam nomes de clientes, e-mails, números de telefone, moradas de envio, produtos e preços.
- A Keystone afirmou que os dados de pagamento, palavras-passe de carteiras, chaves privadas e frases de recuperação não foram comprometidos.
- A Keystone não identificou o atacante, o número de clientes afetados nem a duração do acesso ao website.
A Keystone Hardware Wallet confirmou que o acesso não autorizado ao seu website expôs nomes de clientes, dados de contacto, moradas de envio e registos de compras. A violação, detetada a 20 de outubro de 2026, foi confirmada três dias depois após uma revisão da atividade da interface de programação de aplicações da Shopify.
Numa divulgação de 24 de outubro, o fabricante de carteiras físicas afirmou que um terceiro não autorizado obteve informações de encomendas. A empresa bloqueou o acesso, corrigiu a vulnerabilidade identificada e abriu uma investigação, enquanto o número de clientes afetados permaneceu por divulgar. A divulgação não incluiu qualquer contagem de transações afetadas.
A Keystone Confirma Exposição de Dados de Clientes Após Acesso Não Autorizado ao Website
A Keystone Hardware Wallet confirmou que um terceiro obteve informações de envio e de encomendas de clientes após acesso não autorizado ao seu website oficial. O incidente foi detetado a 20 de outubro,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 de outubro de 2026
O incidente expôs registos ligados a compras de dispositivos de armazenamento de criptomoedas, e não informações guardadas dentro das próprias carteiras. Os registos comprometidos listavam produtos e preços adquiridos, juntamente com identidades de clientes e locais de entrega. As informações afetadas ligavam compras de dispositivos a clientes identificáveis, mas não foi reportado qualquer comprometimento de credenciais de carteira.
Intrusão no Website da Keystone Expõe Encomendas e Moradas de Clientes
A Shopify opera a loja online do fabricante e processa as suas informações de encomendas, de acordo com a política de privacidade da empresa. Essa política refere também que os registos são eliminados após 180 dias quando os clientes não efetuaram outra encomenda.
A disposição de eliminação não identifica quais compras históricas foram incluídas nesta violação. No entanto, a divulgação não identificou as datas de compra afetadas nem estabeleceu durante quanto tempo o acesso não autorizado permaneceu possível.
Os investigadores não atribuíram publicamente a intrusão nem explicaram o método exato utilizado para entrar no website. Os clientes afetados estavam a ser notificados por e-mail. A empresa afirmou também que se seguiria um relatório de incidente mais completo, embora não tenha indicado qualquer data de publicação.
A Keystone afirmou que números de cartões de pagamento, dados de contas bancárias, palavras-passe de carteiras, chaves privadas e frases de recuperação não foram expostos. As suas carteiras utilizam assinatura offline de transações, com comunicação por código QR que limita ligações diretas a dispositivos com acesso à internet.
Chaves Privadas Permanecem Seguras à Medida que os Avisos de Phishing se Intensificam
No entanto, a empresa alertou os clientes sobre ofertas fraudulentas de reembolso, esquemas de substituição de dispositivos e mensagens que alegam prestar assistência com encomendas. Tais abordagens podem surgir através de e-mail, chamadas telefónicas ou mensagens de texto.
Os clientes foram aconselhados a não partilhar frases de recuperação ou chaves privadas, a não introduzir frases de recuperação em dispositivos de substituição inesperados, nem a seguir ligações suspeitas. A empresa apelou também à verificação através de canais de comunicação oficiais.
A violação junta-se a outros incidentes de dados de clientes envolvendo vendedores de carteiras físicas. Em agosto, a Trezor divulgou uma violação do fornecedor de envios ShipMonk, identificando mais tarde aproximadamente 67.000 clientes norte-americanos afetados adicionais.
A SafePal também divulgou uma falha de autorização no rastreio de encomendas que afetou 39.798 clientes. Nesse caso, registos pessoais e de compras foram expostos sem comprometimento direto das credenciais da carteira.
Em todos estes incidentes, as informações expostas residiam em sistemas de encomenda ou de cumprimento, e não em mecanismos de assinatura de carteiras. A Keystone ainda não divulgou publicamente o número de clientes afetados, o método de acesso subjacente nem a janela de exposição.
O artigo Keystone Confirms Customer Data Breach Following Unauthorized Website Access apareceu primeiro em Blockonomi.