OneKey corta CryptoBilis e troca de graça carteiras vendidas desde março

A fabricante de carteiras físicas OneKey revogou a autorização da CryptoBilis como revendedora e vai substituir de graça qualquer carteira OneKey comprada na loja entre 1 de março e 12 de outubro de 2026, tenha o aparelho sido ativado ou não. A empresa anunciou as medidas em 12 de outubro e afirmou que nenhum usuário dela relatou perda de fundos no episódio.

A decisão veio depois de a Ledger confirmar, em 10 de outubro, que um aparelho vendido pela CryptoBilis continha um implante não autorizado de hardware. Todos os casos confirmados do incidente de drenagem de 9 de outubro envolvem aparelhos vendidos por essa revendedora do Sudeste Asiático, segundo a Ledger, que disse não ter indício de comprometimento da própria infraestrutura. A CryptoBilis suspendeu as vendas do estoque de carteiras enquanto a investigação continua, e a Ledger trabalha com autoridades e com o grupo voluntário SEAL 911.

A troca gratuita cobre qualquer modelo OneKey comprado na CryptoBilis na janela indicada. O comprador fica com o aparelho antigo e, se o modelo original estiver esgotado, a empresa envia um modelo mais novo. O pedido é feito pelo botão de suporte no site da OneKey, com comprovante de compra, modelo e informação sobre ativação ou uso, e as solicitações vão até 31 de dezembro de 2026.

A OneKey escolheu 1 de março porque um ex-cofundador da CryptoBilis disse publicamente que a empresa foi adquirida no início do ano, com a troca de gestão em março. A janela passa de 180 dias e é mais larga que o alerta da Ledger, que cobre compras dos últimos 90 dias. O cofundador da Binance, Changpeng Zhao, afirmou depois que invasores teriam comprado a revendedora, alegação que não foi verificada de forma independente.

A orientação prática é não ativar um aparelho parado comprado na loja e, para aparelhos com saldo, tratar a frase de recuperação como possivelmente comprometida e mover os ativos para uma frase nova em um aparelho novo, sem esperar a reposição. A OneKey diz que o suporte nunca pede frase de recuperação nem PIN. A empresa também suspendeu a entrada de novos revendedores, vai reavaliar todos os atuais, cortar os que não tiverem entidade verificável ou dono final claro e publicar a lista completa de autorizados ao fim da revisão.

A CryptoBilis se apresentava como revendedora autorizada de Ledger, Trezor, Tangem, OneKey, CoolWallet, SafePal, Ellipal, BitBox, DCent, Ballet, SecuX, Satochip, imKey e UKISS, com vendas na Malásia, nas Filipinas e na Indonésia. A maioria dessas marcas ainda não informou publicamente se seus aparelhos foram afetados. Estimativas em cadeia citadas pela imprensa apontam cerca de 93 milhões de dólares roubados das carteiras afetadas, número que a Ledger não oficializou.