La brecha de seguridad de Keystone Wallet ha llevado al fabricante de carteras de hardware para criptomonedas a planear la destrucción de 18.835 dispositivos sin vender, después de que los atacantes obtuvieran una clave utilizada para verificar la autenticidad de sus productos. Keystone ha suspendido los envíos de los pedidos realizados en su sitio web que aún no se habían completado, mientras prepara dispositivos de reemplazo.

Puntos clave

  • La clave de autenticación robada podría permitir que carteras falsificadas superen el proceso de verificación de Keystone.
  • La empresa identificó 38.837 registros de compra y pago que podrían haberse visto expuestos, los cuales no necesariamente representan a personas distintas.
  • Keystone afirmó que las frases de recuperación, las claves privadas, las contraseñas y la información de pago no se vieron comprometidas.

Por qué la brecha de seguridad de Keystone Wallet afecta a los dispositivos sin vender

En una actualización de la investigación publicada el 26 de octubre de 2026, Keystone afirmó que los atacantes habían accedido a su clave de autenticación de dispositivos WebAuth durante una brecha de seguridad en su tienda en línea ocurrida el 20 de octubre. La empresa indicó que los atacantes aprovecharon una vulnerabilidad en una herramienta de supervisión de datos de terceros conectada al sitio web.

La clave se incorpora a las carteras durante la fabricación y no se puede borrar ni volver a escribir posteriormente. Keystone planea destruir el inventario afectado en lugar de distribuir dispositivos cuya autenticidad podría resultar difícil de establecer. La producción futura utilizará una clave generada recientemente.

Keystone afirmó que la credencial no puede generar frases de recuperación, derivar claves privadas ni autorizar transacciones. Sin embargo, un atacante que dispusiera de la clave podría hacer que un dispositivo falsificado pareciera legítimo durante la verificación.

Recomendaciones para los propietarios actuales de carteras

Keystone afirmó que las carteras recibidas y autenticadas antes del 20 de octubre siguen siendo seguras. Recomendó a los clientes que recibieron después de esa fecha dispositivos que contienen la clave anterior que se pongan en contacto con el servicio de asistencia oficial para obtener una verificación adicional.

La empresa afirmó que no está realizando una retirada física de productos ni pedirá a los clientes que devuelvan las carteras existentes. Ha pasado a un modelo de preventa mientras prepara dispositivos de reemplazo.

Información de clientes expuesta

Keystone identificó 25.964 registros de compra que aún contenían información identificable de clientes, además de 12.873 registros incompletos de pago que incluían nombres, datos de contacto e información de envío. Los 38.837 registros en conjunto no corresponden necesariamente al mismo número de personas.

La empresa afirmó que su sistema automatizado de eliminación no había aplicado de manera sistemática la política de conservación anunciada de 180 días. Ha reducido el período de conservación a 90 días y ha solicitado eliminar los registros vencidos, un proceso que, según el calendario de procesamiento de Shopify, se esperaba que finalizara el 3 de noviembre.

Keystone planea notificar individualmente a los clientes afectados e introducir un servicio para comprobar si su información se vio expuesta. Afirmó que había notificado a los organismos reguladores y a las autoridades policiales en las jurisdicciones pertinentes, incluidos la Unión Europea y el Reino Unido.

Próximo hito

El próximo hito anunciado es la finalización prevista de las solicitudes pendientes de eliminación de datos antes del 3 de noviembre.

Leer más noticias

Más noticias de FinanceVelix

Aviso legal

Este artículo de FinanceVelix ofrece información general, no asesoramiento financiero, de inversión, legal ni fiscal personalizado. Los precios de mercado, los tipos de interés y las condiciones económicas pueden cambiar; las inversiones conllevan riesgo de pérdida. Los hechos reflejan la información disponible en el momento de la publicación y pueden cambiar. Verifique de forma independiente la información importante y consulte a un profesional cualificado cuando sea necesario. La mención de un activo, empresa o servicio no constituye un respaldo.