Ya son seis las marcas de billeteras de hardware para bitcoin y criptomonedas que han afrontado incidentes de seguridad durante este año 2026, tras la confirmación del caso de Keystone este fin de semana. Los casos involucraron filtraciones de datos personales, una vulnerabilidad en la generación de semillas y dispositivos manipulados para capturar frases de recuperación.

La cronología, que completa el robo de datos a Keystone confirmado este fin de semana, incluye incidentes relacionados con Ledger, COLDCARD, Trezor, SafePal y BitBox. Sin embargo, no todos tuvieron las mismas consecuencias: mientras algunas brechas expusieron información de contacto y pedidos, otros episodios afectaron directamente a la seguridad de los fondos.

Publicidad

Este fin de semana le tocó el turno a Keystone. La empresa informó este sábado 24 de octubre de un acceso no autorizado a su sitio web que expuso información relacionada con clientes y pedidos, incluidos datos de contacto y direcciones de envío. La compañía afirmó que las claves privadas y las frases de recuperación no quedaron expuestas.

El 5 de enero se informó de una filtración en Global-e, proveedor de comercio electrónico utilizado por Ledger. El incidente expuso información de clientes, incluidos nombres, datos de contacto, direcciones de envío y detalles de pedidos.

Meses después, el 13 de agosto, Trezor comunicó una filtración vinculada a ShipMonk, proveedor de servicios logísticos. La empresa amplió posteriormente el alcance del incidente y confirmó que la información expuesta afectaba a 80.689 clientes.

El 16 de agosto, SafePal informó de una vulnerabilidad en su sistema de seguimiento de pedidos. El problema permitió acceder a información de aproximadamente 39.798 clientes, incluidos nombres, direcciones, datos de contacto y detalles de compras.

Publicidad

Luego, otros dos fabricantes de billeteras físicas informaron de incidentes relacionados con Brevo, una plataforma externa de gestión de correos electrónicos. También en agosto, Trezor sufrió un acceso no autorizado a su cuenta en ese servicio. Fueron afectados los datos de decenas de miles de clientes. El incidente también estuvo vinculado con campañas de phishing, en las que los atacantes intentaron engañar a los usuarios para que entregaran información sensible relacionada con sus billeteras.

El 24 de septiembre, BitBox informó de un incidente similar. Los atacantes descargaron direcciones de correo de suscriptores y las utilizaron para distribuir mensajes de phishing. La empresa indicó que el incidente no comprometió sus dispositivos ni sus sistemas internos.

Estos episodios muestran cómo una filtración de datos aparentemente limitada puede servir como punto de partida para ataques posteriores. Conocer la dirección de correo de un usuario interesado en bitcoin o en la autocustodia permite enviar mensajes fraudulentos que imitan comunicaciones legítimas de los fabricantes.

Y si bien estos casos no comprometieron directamente los fondos de sus usuarios, hubo otros incidentes que sí.

Publicidad

Los casos de COLDCARD y Ledger fueron más allá de la información de sus usuarios: El 30 de julio se divulgó una vulnerabilidad relacionada con la generación de semillas criptográficas en COLDCARD. Una aleatoriedad insuficiente podía permitir reconstruir claves privadas de billeteras afectadas y, en determinadas condiciones, facilitar el robo de fondos. La cifra de aproximadamente 116 millones de dólares en pérdidas atribuibles a esta vulnerabilidad ayuda a entender la dimensión del problema.

Luego, el 10 de octubre, Ledger confirmó un caso de manipulación física de un dispositivo vendido por un distribuidor. El equipo contenía un componente no autorizado capaz de capturar las palabras de recuperación durante la configuración y transmitirlas a terceros.

Con Keystone ya son 6 marcas de hardware wallets con incidentes de seguridad en 2026