Keystone, fabricante de hardware wallets para criptomonedas, confirmó una brecha de seguridad que expuso datos personales de clientes y la clave utilizada para verificar la autenticidad de sus dispositivos. En un comunicado publicado el 26 de octubre de 2026, la empresa anunció que destruirá 18.835 unidades de su inventario y cambiará el sistema de autenticación.

El incidente fue detectado el 20 de octubre, cuando los sistemas de seguridad identificaron accesos inusuales al sitio web oficial. Según la investigación de la compañía, el atacante explotó una vulnerabilidad en una herramienta externa de monitoreo de datos para elevar sus privilegios y acceder a información de clientes.

Publicidad

La filtración alcanzó 25.964 registros de compradores que contenían nombres, datos de contacto, direcciones de envío e información de pedidos. Los registros correspondían a compras realizadas entre 2024 y 2026 mediante la tienda oficial de Keystone en Shopify. Otros 12.873 registros de procesos de compra incompletos, en los que no se había realizado el pago, también contenían información personal.

De los 51.083 registros de compradores examinados, otros 25.119 ya habían sido anonimizados antes del acceso no autorizado. Las compras realizadas mediante Amazon y otros canales de venta no resultaron afectadas.

Keystone reconoció que incumplió su política de conservación de datos, que establecía su eliminación después de 180 días. Una herramienta automatizada de borrado funcionó de manera irregular y sus fallos no fueron detectados a tiempo. El 24 de octubre, la compañía solicitó a Shopify eliminar los datos personales que superaban los plazos establecidos. La eliminación definitiva estaba prevista para el 3 de noviembre, tras un período de espera de 10 días. Además, redujo el plazo de conservación de datos de 180 a 90 días.

La clave expuesta se graba durante la fabricación y no puede borrarse ni reescribirse. Su filtración podría permitir producir dispositivos falsificados capaces de superar la verificación oficial. Por ello, Keystone detuvo la fabricación con la clave anterior y anunció que todas las unidades nuevas utilizarán una distinta. También suspendió los envíos pendientes de su tienda oficial hasta disponer de equipos con el nuevo sistema y pasó temporalmente a un modelo de pedidos anticipados.

Publicidad

Como explicamos en CriptoNoticias, la empresa aseguró que el incidente no comprometió las frases semilla, las claves privadas ni las credenciales de las wallets, por lo que no es necesario trasladar los fondos únicamente por este motivo. Tampoco quedaron expuestos datos bancarios ni números de documentos oficiales.

Keystone indicó que los dispositivos recibidos antes del 20 de octubre pueden utilizarse normalmente si superan la verificación de autenticidad. Quienes hayan recibido equipos después de esa fecha deberán contactar con el servicio de atención al cliente para una comprobación adicional si sus dispositivos utilizan la clave anterior. Por ahora, la empresa advirtió que no solicitará la devolución de equipos y recomendó desconfiar de mensajes que ofrezcan migrar fondos o gestionar supuestas devoluciones.

Keystone destruirá 18.800 hardware wallets tras una brecha de seguridad