Keystone Reconoce la Filtración de Datos pero Niega el Compromiso de Claves

El fabricante de carteras de hardware criptográficas Keystone confirmó que un atacante accedió a la tienda en línea de la compañía y robó datos personales de los clientes. Según la declaración de la empresa, el hacker obtuvo nombres de clientes, información de contacto, direcciones de envío, detalles sobre los dispositivos pedidos y sus costos. El acceso no autorizado al sitio se descubrió el 20 de octubre. Tres días después, la empresa, junto con Shopify, en cuya plataforma opera la tienda, verificó la actividad en la API y confirmó la filtración. Después de eso, los desarrolladores bloquearon el acceso, solucionaron la vulnerabilidad, iniciaron una investigación interna y comenzaron a enviar notificaciones a los clientes afectados por correo electrónico.

Keystone afirma que los detalles de pago y bancarios, las frases semilla, las claves privadas y las contraseñas de las carteras no se vieron afectados. Sin embargo, aún no hay confirmación independiente de estas afirmaciones. La empresa no ha revelado el número de personas afectadas, el método de penetración del sistema o la identidad del atacante. Se promete publicar un informe detallado en los próximos días.

Tras el incidente, algunos clientes dudaron de que Keystone cumpliera con sus propias políticas de privacidad. El sitio web del fabricante afirma que la información de entrega se elimina automáticamente 180 días después de realizar el pedido, y los clientes pueden solicitar la eliminación inmediatamente después de recibir el dispositivo. La empresa ha enfatizado repetidamente esto como una ventaja. Sin embargo, varios usuarios informaron en X que recibieron notificaciones sobre la filtración a pesar de que habían pasado más de 180 días desde su pedido. Un cliente con el apodo trintaetres_33 mencionó que compró una cartera hace más de dos años. Otro usuario señaló que habían pasado 214 días entre su último pedido y la violación.

Otro cliente bajo el seudónimo PEPE_Whale69 dio la alarma antes de la declaración oficial del fabricante. Según él, recibió una llamada de un número de policía de Montreal falsificado preguntándole si estaba familiarizado con los nombres Amazon, eBay o Keystone. El interlocutor tenía información que coincidía con los datos del pedido de PEPE_Whale69 de Keystone en 2024. En respuesta, la empresa declaró que había iniciado una investigación urgente, pero no abordó públicamente la pregunta sobre la regla de los 180 días. Mientras tanto, en la política de privacidad actual, actualizada el 7 de julio de 2026, el período se cuenta no desde la fecha del pedido, sino desde la última compra. Según el documento, la empresa elimina los datos solo para aquellos clientes que no han pedido nada durante 180 días. Si un cliente realiza un nuevo pedido, se retiene la información sobre los anteriores. La misma cláusula está presente en el artículo del centro de ayuda, actualizado por última vez en febrero de 2023.

Recordemos que en agosto, el fabricante de carteras de hardware Trezor informó de una filtración de datos de casi 14,000 clientes tras una violación del socio logístico ShipMonk. En septiembre, la empresa informó de otros 67,000 afectados, elevando el número total de usuarios impactados por el incidente a casi 81,000. La base de datos comprometida contenía nombres, números de teléfono, direcciones de correo electrónico y direcciones de envío.