Puntos Clave de la Noticia:
- Una intrusión detectada el 20 de octubre de 2026 expuso la información personal de 25.964 compradores y 12.873 registros de compras incompletas.
- El atacante obtuvo la clave de autenticación WebAuth utilizada para validar la originalidad de los dispositivos en el portal de la firma.
- La compañía destruirá 18.835 unidades en inventario y suspenderá los envíos directos para reemplazar la clave en fábrica.
El fabricante de billeteras frías Keystone confirmó este lunes que una falla en su seguridad expuso registros de clientes y una clave de autenticación de dispositivos tras una intrusión en su tienda oficial de Shopify.
— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026
Un pirata cibernético aprovechó una vulnerabilidad crítica en una herramienta externa de monitoreo de datos para obtener privilegios elevados dentro de la web de la compañía. El hacker logró ingresar el pasado 20 de octubre, lo que llevó a la desconexión de módulos web vulnerables y al bloqueo de accesos externos. Según un reporte de mercado, la empresa formalizó los detalles del compromiso a través de un comunicado técnico divulgado durante la jornada del lunes 26 de octubre.
La información oficial señala que, el incidente involucró un total de 51.083 registros de transacciones generadas en su tienda en línea. De ese total, 25.964 entradas contenían datos de carácter personal como nombres, números de contacto, correos electrónicos, direcciones físicas de envío y detalles de compras realizadas entre 2024 y 2026.
Los 25.119 registros restantes ya habían sido anonimizados por el sistema de almacenamiento previo al evento. La filtración también abarcó 12.873 intentos incompletos de pago donde los usuarios introdujeron datos de contacto preliminares.
Keystone reconoció que la retención indebida de estos registros se debió a una falla en su herramienta automatizada de depuración periódica. La firma mantenía un esquema donde los datos debían borrarse tras 180 días, pero múltiples tareas fallidas de eliminación no fueron detectadas por el equipo de ingeniería.
Impacto en la clave WebAuth y riesgos de falsificación de hardware
El aspecto técnico más delicado de la filtración involucra la clave de autenticación WebAuth de los dispositivos. Este componente criptográfico se graba en el circuito integrado del hardware durante la fase de ensamblaje en fábrica y no permite reescritura de código.
La clave comprometida se encarga exclusivamente de certificar ante el sitio web que el producto es genuino. Keystone aclaró que el elemento sustraído no interviene en la derivación de claves privadas, no genera frases de recuperación y tampoco participa en la firma de transacciones.
Sin embargo, el fabricante admitió que actores maliciosos en posesión de esta clave podrían llegar a fabricar dispositivos clonados capaces de superar las verificaciones de autenticidad en su portal. Hasta la publicación del reporte técnico, la empresa no ha detectado unidades falsificadas operando en circulación.
Como medida de mitigación física, la dirección de Keystone anunció la destrucción total de 18.835 billeteras almacenadas en almacén que contienen la clave comprometida. Los despachos de pedidos pendientes en la web oficial permanecen suspendidos mientras la producción se adapta a una nueva clave criptográfica. Las órdenes entrantes funcionarán bajo un esquema temporal de preventa hasta completar las modificaciones de hardware.
Para los usuarios con dispositivos recibidos antes del 20 de octubre de 2026, la empresa señaló que los aparatos se ensamblaron previamente y mantienen intacta su seguridad interna. Para las entregas posteriores a esa fecha, se instó a los compradores a validar sus números de serie directamente con el servicio de soporte al cliente.
Expertos en seguridad recordaron que las filtraciones de direcciones físicas de compradores representan vectores de amenaza directa en el mundo real. Datos de la firma analítica CertiK presentados por ejecutivos del sector registraron 52 ataques físicos directos a tenedores de criptomonedas durante el primer semestre de 2026, un aumento interanual del 33% respecto a 2025. Ante este escenario, la compañía alertó sobre campañas de ingeniería social que podrían utilizar identidades falsas para ofrecer reemplazos de productos o recolección de equipos bajo supuestas llamadas a revisión.
A nivel operativo, Keystone recortó su período de retención de información comercial de 180 a 90 días. El 24 de octubre de 2026 la compañía remitió solicitudes formales a Shopify para ejecutar la supresión de datos remanentes, un procedimiento que se completará el próximo 3 de noviembre tras cumplirse los plazos de procesamiento de la plataforma.
