- Cake Wallet apresenta possível falha grave que pode permitir o desvio de pagamentos de Bitcoin por meio da manipulação de transações RBF. A vulnerabilidade ainda não foi confirmada de forma independente.
- Keystone confirma ataque hacker que expôs dados pessoais de 25.964 compradores e comprometeu uma chave utilizada para verificar a autenticidade das carteiras físicas.
- Keystone anuncia destruição de 18.835 carteiras em estoque para reduzir riscos de falsificação. Até o momento, não há confirmação de roubo de criptomoedas relacionado aos incidentes.
Duas empresas conhecidas no mercado de carteiras de Bitcoin e criptomoedas enfrentam novos problemas de segurança. A Cake Wallet foi alvo de um relatório técnico que aponta uma possível vulnerabilidade capaz de desviar transações de BTC, enquanto a fabricante de carteiras físicas Keystone confirmou uma invasão que expôs informações de compradores e comprometeu uma chave utilizada para verificar a autenticidade de seus dispositivos.
Os dois casos foram divulgados entre 24 e 26 de outubro de 2026 e envolvem riscos diferentes para os usuários. Na Cake Wallet, um pesquisador afirma ter identificado um problema no mecanismo usado para acelerar transações pendentes. Já na Keystone, criminosos conseguiram acessar informações pessoais de compradores por meio de uma vulnerabilidade no ambiente de comércio eletrônico da empresa.
O caso da Keystone ganhou proporções ainda maiores nesta segunda-feira, 26 de outubro. Em uma atualização sobre o incidente, a fabricante revelou que 25.964 registros de compradores tiveram informações pessoais expostas e que precisará destruir 18.835 carteiras físicas em estoque, depois de confirmar o comprometimento de uma chave usada para autenticar os aparelhos.
Os acontecimentos ampliam as preocupações com a segurança dos serviços relacionados à autocustódia de criptomoedas. Embora essas carteiras sejam desenvolvidas para permitir que os próprios investidores controlem seus ativos, problemas nos aplicativos, nos processos de assinatura e na infraestrutura das fabricantes podem criar oportunidades para golpes e ataques.
Cake Wallet pode permitir que criminosos desviem pagamentos de Bitcoin
O primeiro alerta envolve a Cake Wallet, aplicativo de código aberto utilizado para armazenar e movimentar Bitcoin e outras criptomoedas. Em 24 de outubro, um pesquisador identificado pelo pseudônimo “floppy” publicou um relatório descrevendo uma possível falha no mecanismo conhecido como Replace-by-Fee (RBF).
O RBF permite substituir uma transação de Bitcoin ainda não confirmada por outra que ofereça uma taxa maior aos mineradores. O recurso é utilizado quando um pagamento demora a ser processado e o usuário deseja acelerar sua confirmação.
Segundo o pesquisador, a Cake Wallet poderia confiar em informações fornecidas por um servidor Electrum sem verificar adequadamente se os dados correspondem à transação original. Um servidor malicioso poderia explorar essa situação para substituir o endereço do destinatário por outro controlado pelo atacante.
- Leia também: Advogado vence ação, não repassa indenização para cliente, investe em criptomoedas e TJ-SP manda devolver tudo
O problema seria especialmente perigoso porque, de acordo com o relatório, o aplicativo poderia assinar a transação modificada sem apresentar ao usuário uma indicação clara de que o destino do pagamento foi alterado.
A vulnerabilidade foi identificada pelo pesquisador nas versões 6.4.4 e 6.5.0 da Cake Wallet. O cenário descrito exige que o invasor controle o servidor utilizado pela carteira ou consiga interferir na comunicação entre o aplicativo e o servidor.
O investigador também apontou problemas na verificação de certificados utilizados nas conexões com servidores Electrum, o que poderia facilitar determinados ataques de interceptação. Segundo sua análise, o modo Tor integrado ao aplicativo oferece proteção adicional contra essa forma de interceptação.
Entretanto, a falha ainda não foi confirmada de maneira independente. O próprio pesquisador reconheceu que realizou sua prova de conceito em um ambiente local de testes do Bitcoin, sem executar o ataque contra uma instalação real do aplicativo em um celular.
Até a apuração desta reportagem, também não havia confirmação pública da Cake Wallet sobre a vulnerabilidade nem registros de roubos atribuídos especificamente ao problema descrito pelo pesquisador.
A denúncia foi repercutida pelo portal CriptoNoticias, que destacou a necessidade de verificação técnica independente antes de considerar a vulnerabilidade comprovada.
Keystone confirma ataque e vai destruir 18.835 carteiras de criptomoedas
O segundo caso envolve a Keystone, fabricante de hardware wallets, dispositivos físicos destinados ao armazenamento de chaves privadas de Bitcoin e outras criptomoedas.
Em um comunicado publicado no X em 24 de outubro, a empresa informou que havia identificado acesso não autorizado ao seu site oficial em 20 de outubro. Após analisar registros de acesso à interface de programação (API) da Shopify, confirmou, em 23 de outubro, que terceiros conseguiram obter informações relacionadas a pedidos de clientes.
Os dados comprometidos incluem nomes, informações de contato, endereços de entrega e detalhes das compras, como produtos adquiridos e valores pagos. Essas informações podem ser utilizadas em campanhas de phishing e golpes direcionados contra pessoas que possuem criptomoedas.
A situação se agravou com a atualização divulgada em 26 de outubro. A Keystone explicou que criminosos exploraram uma vulnerabilidade em uma ferramenta terceirizada de monitoramento de dados utilizada em seu site, conseguindo ampliar seus privilégios de acesso.
Durante a investigação, a fabricante descobriu que os invasores também obtiveram uma chave de autenticação conhecida como WebAuth, utilizada para verificar se os dispositivos vendidos pela empresa são genuínos.
O comprometimento dessa chave é particularmente sensível porque ela poderia permitir a fabricação de carteiras falsificadas capazes de passar pelas verificações de autenticidade da Keystone.
Para reduzir esse risco, a fabricante anunciou a substituição da chave nos novos dispositivos e a destruição de 18.835 unidades que ainda estavam em estoque e utilizavam a credencial comprometida. A empresa também suspendeu o envio de pedidos pendentes realizados em sua loja oficial.
A atualização trouxe números detalhados sobre o vazamento. Dos 51.083 registros de compras analisados, 25.964 ainda continham informações pessoais. A investigação também identificou 12.873 registros de processos de compra não concluídos com dados fornecidos pelos consumidores.
Outro problema identificado foi uma falha no sistema responsável pela exclusão automática de informações pessoais. A Keystone reconheceu que determinados dados haviam permanecido armazenados por mais tempo do que o prazo de 180 dias previsto anteriormente. Após o incidente, anunciou a redução desse período para 90 dias.
Apesar da gravidade, a empresa afirma que frases de recuperação, chaves privadas, senhas de carteiras e dados bancários não foram comprometidos. A chave WebAuth roubada é utilizada para autenticar a origem dos aparelhos, não para gerar chaves privadas ou assinar transações de criptomoedas.
Segundo a orientação da fabricante, dispositivos recebidos antes de 20 de outubro continuam podendo ser utilizados normalmente, desde que sejam legítimos. Já quem recebeu uma carteira depois dessa data, contendo a antiga chave de autenticação, deve procurar a empresa para realizar verificações adicionais, mesmo que o aparelho tenha passado pelo processo habitual de autenticação.
A Keystone também informou que não está solicitando a devolução dos dispositivos já entregues e alertou os clientes sobre possíveis golpes envolvendo falsas campanhas de recolhimento ou substituição de carteiras.
