El fabricante de monederos de hardware Keystone reconoció el 26 de octubre de 2026 que la vulneración de su sitio web fue más allá de una filtración de datos de clientes. El atacante también obtuvo la clave WebAuth, la credencial digital integrada en los dispositivos Keystone durante la fabricación y utilizada para la verificación de autenticidad en línea.
Cómo se desarrolló la vulneración de Keystone
Keystone detectó un acceso sospechoso a su sitio web el 20 de octubre de 2026. El atacante explotó una vulnerabilidad en una herramienta de monitoreo de terceros integrada en el sitio y escaló privilegios hasta el nivel necesario. La empresa cortó el acceso del atacante ese mismo día y corrigió la vulnerabilidad.
El primer comunicado público solo se emitió el 24 de octubre - en ese momento, Keystone informó el robo de datos de contacto de clientes y direcciones de envío. Dos días después, el 26 de octubre, anunció una pérdida mucho más grave - la clave de autenticación de dispositivos WebAuth.
Los datos de los clientes se filtraron debido a un fallo de procedimiento propio de Keystone. La tienda Shopify de la empresa contenía 51,083 registros de compradores. Según su política de retención de 180 días, 25,119 de ellos debían haberse eliminado, y así fue. Los 25,964 registros restantes, correspondientes al período entre 2024 y 2026, quedaron al alcance del atacante: la herramienta automatizada de borrado masivo funcionó de manera poco confiable, algunas operaciones se detuvieron y Keystone no lo detectó a tiempo.
En paralelo, el atacante podría haber tenido acceso a 12,873 registros de pago (checkout) de Shopify, datos de compras no finalizadas. Keystone ya solicitó a Shopify que elimine los registros de pago retenidos durante más de 30 días.
La amenaza de las falsificaciones: qué significa para los propietarios de Keystone
La clave WebAuth no es solo una contraseña. Se integra en el dispositivo durante la fabricación y no puede reemplazarse después. Esto significa que los 18,835 dispositivos del inventario de Keystone que contienen la clave filtrada ya no pueden hacerse seguros: serán destruidos. Los envíos a través del sitio están suspendidos y la empresa está pasando a un modelo de preventa.
Para los compradores, el panorama se divide en torno a la fecha del 20 de octubre. Los dispositivos entregados antes de esa fecha son seguros: su verificación de autenticidad todavía merece confianza. Los dispositivos entregados después del 20 de octubre quedan en duda: incluso si ese dispositivo pasa la verificación, Keystone no puede garantizar que no sea una falsificación. Se les pidió a estos propietarios que se comuniquen con soporte para una verificación adicional antes de usar el dispositivo.
La producción de nuevos dispositivos con una clave de autenticación diferente ya está en marcha. Los envíos se reanudarán solo cuando esos dispositivos estén listos. Keystone está reduciendo la retención de datos de clientes de 180 a 90 días.
Las claves privadas, las frases semilla, las contraseñas de los monederos, la información bancaria y los números de documentos no se vieron afectados por el incidente. Los dispositivos Passport (la segunda línea de productos de Keystone) no resultaron afectados. La empresa todavía no ha registrado compradores afectados ni casos de criptomonedas robadas relacionados con el incidente.
Keystone en la serie de incidentes de monederos de hardware de 2026
La vulneración de Keystone se convirtió en el cuarto incidente importante en la industria de monederos de hardware en los últimos cuatro meses. Cada ataque tiene su propia naturaleza, pero el vector es compartido: la cadena de suministro y la infraestructura alrededor de los dispositivos.
En julio de 2026, el fabricante de Coldcard, Coinkite, advirtió a los usuarios sobre un exploit de firmware: los dispositivos generaban frases semilla con entropía reducida, y los atacantes lo usaron para drenar millones de dólares. En agosto, Trezor reveló una brecha en su socio de envíos ShipMonk; el número inicial de clientes afectados fue de 14,000, y para septiembre había crecido a 80,000. Ese mismo agosto, SafePal informó un compromiso en su complemento de seguimiento de pedidos: la filtración afectó a cerca de 40,000 compradores. En octubre, Ledger pidió a los revendedores del sudeste asiático y Hong Kong que pausaran las ventas tras reportes de que los dispositivos vendidos en la región contenían implantes no autorizados capaces de interceptar frases semilla.
