Um invasor que obteve acesso ao site da Keystone conseguiu a chave que as carteiras de hardware da empresa usam para comprovar que são genuínas, informou a companhia em uma declaração divulgada em 26 de outubro.
Quem tiver essa chave pode fabricar dispositivos falsificados capazes de passar na verificação online que os proprietários usam para checar uma Keystone. Um comprador que confiar em um aparelho falsificado pode ter suas criptomoedas roubadas. Ainda assim, o incidente não envolveu as frases de recuperação nem as chaves privadas das carteiras dos usuários.
A Keystone vai destruir 18.835 dispositivos não vendidos que carregam a chave antiga, e todos os novos aparelhos receberão uma chave nova.
A empresa descobriu o acesso não autorizado em 20 de outubro, e a orientação aos proprietários depende da data em que o dispositivo chegou às mãos do comprador. Para um aparelho recebido após essa data com a chave antiga, a companhia afirmou: “Mesmo que um dispositivo desses passe pela autenticação, não podemos descartar completamente a possibilidade de que ele seja falsificado.”
Os proprietários de um aparelho assim devem entrar em contato com o suporte da Keystone e usá-lo somente depois que a empresa confirmar que ele é genuíno.
De acordo com a Keystone, um dispositivo entregue antes de 20 de outubro que passe na verificação pode ser considerado genuíno e usado normalmente. A empresa não informou quando o invasor conseguiu entrar pela primeira vez.
Segundo a companhia, o invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros usada pelo site da Keystone para elevar seus privilégios de acesso. Com isso, ele conseguiu obter dados de clientes e a chave.
A Keystone bloqueou o acesso do invasor em 20 de outubro e, desde então, corrigiu a vulnerabilidade. A empresa não disse onde a chave era armazenada.
Como funciona a verificação do dispositivo
O proprietário escaneia, com o aparelho, um código QR (sigla de Quick Response, ou resposta rápida) na página de verificação da Keystone e, em seguida, digita o código que o aparelho exibe na tela.
No firmware de código aberto da Keystone, o código QR traz esse código em forma criptografada, e o dispositivo o descriptografa com a chave armazenada nele. Por isso, um código correto indica que o aparelho possui a chave.
A chave é usada apenas nessa verificação. Ela não participa da criação de frases de recuperação, da geração de chaves privadas nem da assinatura de transações.
Qualquer pessoa com uma cópia da chave consegue gerar os códigos corretos, por isso um dispositivo falsificado que a contenha pode passar na verificação. Esses aparelhos poderiam ser vendidos ou enviados a clientes, levando ao roubo de suas criptomoedas, afirmou a Keystone. A empresa não registrou nenhum caso de dispositivo falsificado nem de roubo.
A chave é gravada em cada dispositivo durante a fabricação e não pode ser apagada nem reescrita. O firmware a mantém na memória, que só pode ser gravada uma vez, e recusa a aceitação de uma segunda chave. Por isso, os aparelhos já fabricados não podem ser migrados para a chave nova.
Registros de clientes
A Keystone divulgou pela primeira vez a violação em 24 de outubro, informando que um terceiro havia obtido informações de envio de clientes.
O incidente afetou 25.964 registros de compradores de compras feitas no site da Keystone entre 2024 e 2026, informou a empresa em 26 de outubro. Os registros contêm nomes, dados de contato, endereços de entrega e detalhes dos pedidos. A loja online da Keystone funciona na plataforma Shopify, que armazenava e gerenciava esses registros.
A Keystone afirmou que dados de cartões de pagamento, dados bancários e números de documentos de identidade não foram envolvidos. Os registros de compras feitas na Amazon e nos demais canais de venda da Keystone não foram afetados.
Como medida preventiva, a Keystone também incluiu em sua resposta 12.873 registros de checkout não finalizados. Eles contêm nomes, dados de contato e informações de entrega de compras que nunca foram concluídas.
Parte dos dados afetados já deveria ter sido excluída. A Keystone havia prometido apagar as informações de entrega 180 dias após cada pedido.
Uma ferramenta automatizada criada pela Keystone para apagar registros em massa não funcionou de forma confiável. Algumas exclusões falharam, e a empresa não percebeu as falhas a tempo.
A Keystone está reduzindo de 180 para 90 dias o período em que mantém os dados pessoais dos clientes, com efeito imediato. A empresa pediu à Shopify que exclua os dados pessoais dos compradores com mais de 90 dias e espera que isso seja feito em 3 de novembro. Até 27 de outubro, sua política de privacidade ainda previa o prazo de 180 dias.
A Keystone está enviando e-mails aos clientes afetados e planeja criar uma página em que as pessoas poderão verificar se suas informações foram atingidas.
O que os proprietários de Keystone devem fazer
A orientação da Keystone cobre as seguintes situações:
- Entregue antes de 20 de outubro: um dispositivo que passe na verificação pode ser usado normalmente.
- Recebido após 20 de outubro com a chave antiga: não use o aparelho até que o suporte da Keystone, pelo endereço support@keyst.one, confirme que ele é genuíno. A Keystone orientou esses proprietários a seguir as instruções da sua página de verificação de dispositivos, mas, até 27 de outubro, a página não apresentava nenhuma instrução desse tipo. A empresa também não explicou como identificar qual chave um dispositivo possui, nem o que devem fazer os proprietários que já enviaram criptomoedas para um aparelho desses.
- Aguardando um pedido feito no site da Keystone: o envio está suspenso até que os dispositivos com a chave nova estejam prontos. Até 27 de outubro, a loja listava o Keystone 3 Pro como pré-venda, com envio previsto em 4 a 6 semanas.
- Comprado pela Amazon ou por revendedor: a mesma orientação vale, porque ela se baseia na data de chegada do dispositivo, e não no local da compra. A Keystone vende por meio de lojas oficiais na Amazon e de revendedores autorizados. A empresa não informou se aparelhos com a chave antiga ainda estão à venda nesses canais.
- Já possui criptomoedas em uma Keystone: os proprietários não precisam mover suas criptomoedas por causa do incidente, afirmou a empresa. Quem tiver um dispositivo recebido após 20 de outubro com a chave antiga deve, ainda assim, seguir os passos acima.
- Mensagens golpistas: trate como golpe qualquer ligação, mensagem de texto, e-mail ou carta que ofereça reembolso, substituição de aparelho, recall, verificação de carteira ou ajuda para mover criptomoedas. A Keystone não vai pedir a ninguém que devolva um dispositivo. Nunca digite uma frase de recuperação em um aparelho que você não encomendou e, em vez de seguir links, digite keyst.one diretamente no navegador.
