OneKey limita dados de clientes a 30 dias após falha na promessa de exclusão da Keystone

O fundador da OneKey, Yishi Wang, comprometeu-se a excluir os dados dos clientes dentro de 30 dias, após a admissão de falha do concorrente fabricante de carteiras de hardware, Keystone, referente ao seu sistema de exclusão de 180 dias, que resultou na exposição de quase 26.000 registros de compradores em uma violação de segurança.

O centro de ajuda da Keystone observou que a exclusão final dos registros dos usuários é tratada pela Shopify. Essa divulgação expõe uma falha de segurança no nível das lojas Shopify e das empresas logísticas, além do controle dos fabricantes de carteiras como OneKey e Keystone, apesar da promessa de exclusão em 30 dias feita pela primeira.

Por que a OneKey está reduzindo seu prazo de retenção de dados

Yishi Wang, da OneKey confirmou na terça-feira que o fabricante de carteiras de hardware está auditando seu próprio sistema de segurança após recentes violações e ataques à cadeia de suprimentos terem exposto falhas de segurança no setor em que atua.

Wang enfatizou que a medida é precaucionária, escrevendo que “a OneKey NÃO sofreu um incidente” de segurança. Em vez disso, a decisão de limitar a retenção de dados a 30 dias é uma resposta direta ao que aconteceu em outras empresas.

A razão por trás da janela de retenção de dados mais curta é que, quanto mais tempo um fornecedor mantém os dados dos clientes, maior será o volume de dados expostos em caso de violações.

O que causou a violação da Keystone?

Keystone revelou que o sistema que exclui automaticamente os dados dos clientes ao final do período de retenção de 180 dias havia parado de funcionar sem acionar nenhum alerta. “Falhamos em cumprir nosso compromisso de apagar os dados dos clientes a tempo, e assumimos a responsabilidade por essa falha”, disse a empresa.

A Keystone encontrou 25.964 registros que ainda continham dados pessoais, nomes, endereços de envio, detalhes de contato e históricos de compras durante um revisão de 51,083 registos de compradores da Shopify. Aparentemente, dados remontando a 2024 ainda estavam retidos, muito além do limite de 180 dias a empresa destacou após os clientes da Ledger terem tido conhecimento de um vazamento no parceiro de comércio eletrônico Global-e em janeiro de 2026.

Os investigadores encontraram detalhes sensíveis em mais 12.873 registros de checkout não pagos.

Em resposta, a Keystone agora reduziu sua janela de retenção para 90 dias.

A Keystone também revelou em 26 de outubro que os atacantes também roubaram a chave WebAuth usada por seus dispositivos para provar sua autenticidade, rastreando a invasão até uma falha em uma ferramenta de monitoramento de terceiros que permitiu aos intrusos elevar seu nível de acesso. A Keystone detectou a atividade pela primeira vez em 20 de outubro.

Como a chave é gravada em cada dispositivo durante a fabricação e não pode ser sobrescrita, a Keystone planeja destruir todas as 18.835 unidades em estoque que a possuem. As novas carteiras recebem uma chave substituta.

A empresa interrompiu o envio dos pedidos pendentes do site e passou a aceitar apenas pré-vendas.

As promessas de exclusão só são tão boas quanto os parceiros que detêm os dados

Notavelmente, os fabricantes de carteiras de hardware não são os únicos que mantêm dados dos clientes. Plataformas de comércio eletrônico e parceiros de envio também manipulam nomes, endereços e históricos de pedidos dos clientes, e é nesse nível que a maioria dos recentes vazamentos ocorreu.

Vazamento de dados da Trezor atingiu 81.000 clientes após seu parceiro de envio, ShipMonk, falhar na exclusão de registros apesar de garantias escritas repetidas. SafePal expôs sobre 39,798 clientes por meio de uma falha no rastreamento de pedidos e desde então reduziu sua retenção para 90 dias. A Ledger confirmou que dispositivos revendidos da CryptoBilis escondiam chips que capturavam as frases de recuperação. O Cryptopolitan, citando pesquisadores on-chain, estimou as perdas em mais de US$ 86 milhões.