Vazamento de dados de usuários da Keystone: como se proteger de phishing e ataques direcionados

Endereços de entrega dos compradores da Keystone vazaram na rede

A Keystone teve uma falha de segurança em seu site – criminosos conseguiram acesso aos endereços de entrega dos compradores. Um especialista em segurança já alertou a comunidade de que os detalhes dos pedidos colocam os donos de criptomoedas em risco. Estamos falando de phishing direcionado e ataques físicos diretos.

Logo em seguida, estourou um segundo escândalo. A Keystone afirma publicamente que apaga os dados pessoais dos clientes 180 dias após a realização do pedido. Usuários na rede social X contestaram essa declaração: o vazamento incluiu dados de pessoas cujos pedidos foram feitos muito antes desse prazo. Complicado.

A situação é péssima. As pessoas compram uma carteira física exatamente para ter o máximo de isolamento contra riscos online e, no fim, acabam desanonimizadas na porta de casa.

Promessas dos 180 dias e a realidade

A história com a Keystone escancarou um velho problema do setor: a distância entre a política de privacidade no papel e o armazenamento real de logs. Se a empresa escreve na página de vendas que limpa as bases após 180 dias – o comprador espera o esquecimento digital. Na prática, registros antigos ficam anos nos servidores das lojas online, em CRMs e em bancos de dados de parceiros de logística.

Na rede X, já são dezenas de comentários revoltados. As pessoas cobram uma resposta direta: por que informações de compras de meses atrás foram parar nas mãos de invasores? Não há resposta clara. Os dados vazaram.

Os criminosos conseguiram uma lista pronta: nome, sobrenome, endereço físico e a certeza de que a pessoa guarda criptomoedas em casa. Isso abre portas para dois tipos de ataques.

• Phishing direcionado. E-mails em nome da Keystone com atualizações falsas de firmware ou avisos forjados de bloqueio de dispositivos.
• Pressão física. A ameaça de uma visita indesejada para extorsão direta na sua casa.

O que fazer se seus dados vazaram

Não adianta entrar em pânico, o negócio é ajustar seus próprios protocolos de segurança. O vazamento do endereço de entrega não é uma invasão das chaves privadas da carteira em si (a seed-phrase segue segura dentro do chip). Mas a pressão psicológica sobre os donos começa na hora. De verdade.

Nós aconselhamos agir com calma e método:

• Apague imediatamente qualquer e-mail em nome da Keystone. O fabricante de carteiras físicas nunca vai pedir para você digitar sua seed-phrase em um site, confirmar saldo ou fazer nova verificação.
• Se enviarem um dispositivo novo alegando substituição do aparelho comprometido – jogue fora ou mande para uma auditoria independente. Nunca ligue aparelhos substitutos que chegarem pelo correio.
• Verifique as transações de entrada e as conexões das carteiras. Se os criminosos cruzarem seu endereço com rastros on-chain, eles vão tentar monitorar suas transferências. Use nossa ferramenta de AML checker para controlar a procedência dos fluxos e ver como seus endereços aparecem para os sistemas de análise.
• Divida o armazenamento dos seus ativos. Não deixe todo o capital em um único dispositivo cujo endereço agora está rodando por aí. Dá para distribuir a maior parte: envie um tanto para uma carteira fria sem vínculo com seu endereço residencial e use outra parte para negociar. Você pode avaliar a segurança das plataformas na nossa seção de análises de corretoras.

Em resumo, mantenha os riscos sob controle. Acompanhe a movimentação dos ativos e o equilíbrio da carteira – dê uma olhada na nossa seção pública de portfólio para ver como distribuir fundos em momentos de incerteza.

Uma lição para todo o mercado

O problema da Keystone não é o primeiro incidente desse tipo no mercado crypto, mas as pessoas continuam cometendo o mesmo erro. Ao pedir uma carteira física para o seu endereço residencial e pagar com cartão pessoal, você mesmo cria o vínculo entre sua identidade e suas criptomoedas. Se a loja for invadida, eles não vão roubar sua seed-phrase pelo sistema, mas podem ir buscá-la pessoalmente. É isso.

Ao comprar qualquer equipamento focado em privacidade, é fundamental usar endereços neutros: caixas postais, endereços comerciais ou entregas para retirada com contatos alternativos onde o serviço permitir.

As carteiras físicas continuam sendo o padrão de segurança se você souber usá-las do jeito certo e não acreditar em histórias corporativas sobre exclusão de logs. Para saber mais sobre como configurar seu armazenamento frio e não cair na conversa de golpistas após vazamentos como esse, leia nosso guia completo sobre como escolher e configurar sua carteira.