Esta chave é gravada nos wallets durante a produção e não pode ser apagada nem sobrescrita. A empresa garantiu que a chave não é usada para gerar frases de seed, criar chaves privadas ou assinar transações.
No entanto, ao obter a chave, o atacante pode criar dispositivos falsos que passarão com sucesso na verificação de autenticidade no site da Keystone. Se tais dispositivos falsos chegarem aos clientes que os considerarem produtos originais da Keystone, esses clientes perderão seus ativos criptográficos.
A Keystone encerra totalmente o uso da chave antiga. Todos os novos dispositivos serão lançados com uma nova chave de autenticação. A empresa prometeu destruir 18.835 carteiras físicas em estoque que contêm a chave comprometida, e elas não serão colocadas à venda. A Keystone suspendeu o envio de todos os dispositivos não pagos encomendados através do site oficial e passou as vendas para o modo de pré-encomenda — até que a produção de dispositivos com a nova chave seja normalizada.
20 de outubro, os sistemas de monitoramento Keystone registaram atividade suspeita no site. Um desconhecido explorou uma vulnerabilidade na ferramenta de monitoramento de dados. Como resultado do incidente, dados pessoais de 25.964 compradores que realizaram pedidos na plataforma Shopify entre 2024 e 2026 foram comprometidos. Nomes, dados de contato, endereços de entrega e informações sobre pedidos ficaram acessíveis publicamente. Felizmente, o atacante não obteve acesso às frases de seed, chaves privadas e dados de pagamento dos usuários.
De acordo com a política interna da Keystone, os dados dos compradores devem ser excluídos após 180 dias, mas a ferramenta automatizada para exclusão em massa funcionou incorretamente, justificam os representantes da empresa. Eles reconheceram que os dados comprometidos não foram excluídos a tempo. O hacker obteve acesso a 12.873 registros de pedidos não concluídos, que também continham nomes, dados de contato e endereços de entrega.
Os dispositivos entregues até 20 de outubro serão considerados adequados para uso pelo fabricante — desde que passem na verificação de autenticidade. Os compradores que receberam a carteira com a chave antiga após 20 de outubro são aconselhados a entrar em contato com o suporte para verificação adicional. Mesmo que o dispositivo passe na autenticação, não se pode descartar a possibilidade de ser uma cópia.
A empresa anunciou que não solicitará aos proprietários de carteiras que devolvam os dispositivos. Qualquer pessoa que exija o envio da carteira para substituição será considerada um golpista.
Anteriormente, outro grande fabricante de carteiras de criptomoedas, a Ledger, reconheceu que um grupo de hackers comprou intencionalmente dispositivos. Os criminosos abriam as carteiras e instalavam módulos ocultos para interceptar frases de seed. Carteiras com módulos espiões apareceram até mesmo na plataforma russa Ozon.