Keystone destruirá 18,835 dispositivos tras filtración de clave de autenticación

El fabricante de carteras de hardware Keystone destruirá 18,835 dispositivos no vendidos y suspenderá los envíos de pedidos tras un incidente de seguridad en el sitio web oficial. Un atacante accedió a los datos de los clientes y a la clave WebAuth, que se utiliza para la autenticación de dispositivos.

El ataque ocurrió el 20 de octubre de 2026, a través de una vulnerabilidad en una herramienta de monitoreo de datos de terceros: el atacante escaló privilegios y accedió a información y a la clave. La filtración afectó a 25,964 registros de clientes que realizaron pedidos a través de Shopify en el sitio web oficial desde 2024 hasta 2026, incluyendo nombres, detalles de contacto, direcciones de envío e información de pedidos, así como 12,873 registros de pagos incompletos. Las compras a través de Amazon y otros canales no se vieron afectadas.

La clave WebAuth se grabó en los dispositivos durante la fabricación y no se puede eliminar ni reemplazar. Su compromiso teóricamente permite la creación de dispositivos falsificados que pasarán la autenticación: los clientes pueden confundirlos con genuinos y poner en riesgo sus criptoactivos. La compañía enfatizó que la clave no está involucrada en la generación de frases semilla, obtención de claves privadas o firma de transacciones.

Keystone reconoció que algunos datos personales se almacenaron más tiempo del período establecido debido a una falla en la herramienta automatizada de eliminación de registros: la compañía no detectó la falla. Las solicitudes para eliminar datos caducados se enviaron a Shopify el 24 de octubre, con la finalización esperada para el 3 de noviembre. La política de almacenamiento se reducirá de 180 a 90 días.

Qué deben hacer los clientes

Keystone declaró que el incidente no afectó las frases semilla, las claves privadas, otras credenciales de la cartera, la información de pago bancaria y los números de documentos gubernamentales, por lo que transferir activos únicamente debido a la filtración no es necesario. Los dispositivos entregados antes del 20 de octubre son seguros si pasan la autenticación; se aconseja a los clientes que recibieron un dispositivo con la clave antigua después de esta fecha que contacten al soporte para una verificación adicional. La compañía advirtió sobre estafadores que pueden ofrecer "migración de activos" o exigir la devolución del dispositivo.

Keystone ha suspendido los envíos de pedidos y cambiará a pedidos anticipados hasta que comience a lanzar dispositivos con una nueva clave. Las nuevas carteras utilizarán una nueva clave de verificación.

Anteriormente, un incidente similar fue revelado por Foundation: los atacantes enviaron correos electrónicos de phishing desde sus dominios oficiales. La compañía reportó más de 23,000 intentos de phishing y descubrió copias antiguas de la base de datos que eludieron el proceso de eliminación de 60 días: alrededor de 5,600 direcciones de correo electrónico y 5,200 números de teléfono.