Keystone retira sus dispositivos tras la filtración de una clave que permite fabricar carteras falsas

Keystone, un fabricante de carteras de hardware de Bitcoin que mantienen los códigos secretos que controlan tus criptomonedas fuera de línea, dijo el lunes que destruirá 18.835 dispositivos no vendidos después de que los atacantes obtuvieran la clave que demuestra que su hardware es auténtico. La compañía también ha suspendido el envío de todos los pedidos no enviados de su sitio web.

Para los compradores, el riesgo es una cartera falsificada que parece nueva y pasa la propia verificación de Keystone, porque el atacante obtuvo la clave en la que se basa la verificación. Un criminal podría entonces vender dicho dispositivo a alguien que cargue en él sus ahorros reales.

“Si se expone, un atacante podría usarla para producir dispositivos falsificados que superen las comprobaciones de autenticación”, dijo Keystone en su declaración. “Estos dispositivos podrían entonces venderse o enviarse a clientes, quienes podrían usarlos sin saberlo como productos genuinos, lo que podría resultar en el robo de activos.”

Keystone la llama clave WebAuth, un código secreto escrito en cada dispositivo en la fábrica para que una página del sitio web de la empresa pueda confirmar que el hardware es real. No se puede borrar ni reescribir, y las 18.835 unidades en inventario que la llevan están siendo destruidas en lugar de vendidas.

Keystone dijo por primera vez el sábado que un tercero había obtenido información de envío de clientes. La declaración del lunes añadió la clave robada y un recuento de 25.964 registros de compradores afectados, pero no dice quién es responsable ni cuándo entró el atacante por primera vez.

El incidente afectó a registros de la tienda Shopify de Keystone, la plataforma de comercio electrónico que gestionaba sus ventas en línea. Keystone dice que se vieron involucrados 51.083 registros de compradores, pero 25.119 ya habían tenido su información personal borrada, dejando 25.964 de 2024 a 2026 que aún contenían nombres, datos de contacto, direcciones de envío e información de pedidos. Las compras a través de Amazon y otros canales no se vieron afectadas.

BitcoinBTC · USD

$80,605−2.34%

Oct 20Oct 22Oct 24Oct 26Oct 27

$84.8k$83.1k$81.3k$79.6k

24h HighHigh$80,573

24h LowLow$79,416

VolVol$1.0B

→

Comprar Bitcoin con USDT

Desarrollado por Jupiter

Datos de precios por CoinGeckoCoinGeckoMás noticias y proyecciones de Bitcoin →

Parte de esos datos ya debería haberse eliminado. La política de Keystone consistía en borrar los registros de los compradores después de 180 días, y la herramienta automatizada de eliminación masiva que creó para esa tarea no funcionaba de forma fiable.

“Algunas tareas de borrado fallaron, y no detectamos ni solucionamos estos fallos a tiempo, lo que provocó que cierta información personal se conservara más allá del período permitido”, dijo Keystone. “No cumplimos nuestro compromiso de borrar los datos de los clientes a tiempo, y asumimos la responsabilidad por este fallo”.

Las listas de clientes son un punto débil recurrente para los fabricantes de carteras. La filtración de Ledger en 2020 finalmente llegó a unos 292.000 clientes, y quienes recibieron correos de phishing después temieron poder convertirse en objetivos de invasiones a sus hogares.

Trezor y SafePal revelaron cada una brechas de datos de clientes en agosto, afectando a 13.689 clientes y a unos 39.798 clientes, respectivamente.

Los nombres y las direcciones importan debido a los ataques de llave inglesa, en los que los criminales usan amenazas o violencia para obligar a los propietarios a entregar sus criptomonedas. Chainalysis contabilizó 46 ataques violentos en la primera mitad de 2026, con más de 30 millones de dólares robados.

El fabricante también advirtió sobre estafadores que ofrecen "migración de activos", "verificación de cartera" o "asistencia en investigaciones".

Las ventas en el sitio web de Keystone pasarán a preventas hasta que se complete la producción de dispositivos con una nueva clave, y la empresa dice que ha presentado informes a las autoridades en la UE, el Reino Unido y otras jurisdicciones.

Keystone redujo su período de retención de datos de clientes de 180 días a 90 y pidió a Shopify el 24 de octubre que borrara todos los datos de compradores vencidos, un proceso con un período de espera de 10 días. La empresa espera que el borrado finalice el 3 de noviembre.