El fabricante de hardware wallets Keystone ha confirmado que unos hackers robaron una clave de seguridad utilizada para autenticar sus dispositivos, un incidente que, según la compañía, permitió a los atacantes fabricar wallets falsificadas capaces de pasar por auténticas durante el proceso de autenticación. La advertencia fue publicada inicialmente por Keystone en un mensaje en X.
La compañía había informado en un primer momento únicamente del robo de datos de clientes. Desde entonces ha reconocido una implicación más grave de la brecha: la clave robada compromete el mecanismo que los clientes utilizan para confirmar que un dispositivo no ha sido manipulado.
Según Keystone, los atacantes explotaron una vulnerabilidad en una herramienta externa de monitorización utilizada en su sitio web para ampliar sus permisos de acceso dentro de los sistemas de la compañía. Ese acceso acabó derivando en el compromiso de la clave de autenticación.
Miles de dispositivos serán destruidos
En respuesta, Keystone ha afirmado que destruirá 18.835 dispositivos que actualmente mantiene en el stock de su almacén. Los envíos de los modelos afectados se han detenido y solo se reanudarán cuando se fabriquen nuevos dispositivos con una clave de sustitución.
Keystone señaló que las hardware wallets fabricadas y entregadas antes del ataque, que data del 20 de octubre, siguen considerándose seguras. Para las unidades enviadas después de esa fecha, la compañía afirma que no puede garantizar su autenticidad, y pide a los clientes afectados que contacten con soporte para una verificación adicional.
Keystone ha querido tranquilizar a los propietarios actuales señalando que no es necesario devolver físicamente los dispositivos. "No vamos a pedirles que nos devuelvan su dispositivo", afirmó la compañía.
Datos de clientes también expuestos
Por separado, Keystone reveló que los atacantes podrían haber robado 25.964 registros de datos de compradores correspondientes al periodo 2024-2026, a los que se suman otros 12.873 registros vinculados a pedidos incompletos que también podrían verse afectados. La compañía explicó que un fallo en su sistema de borrado impidió eliminar a tiempo ciertos datos de clientes, lo que amplió la ventana de exposición.
"No hemos cumplido con nuestra obligación de eliminar los datos de los clientes a tiempo y asumimos la responsabilidad de ello", declaró Keystone. Como respuesta, la compañía va a reducir el periodo de retención de los datos personales de clientes de 180 a 90 días, y ha indicado que los datos pendientes de borrado alojados en Shopify se eliminarán antes del 3 de noviembre.
Parte de un patrón más amplio
El incidente de Keystone se suma a otros problemas de seguridad recientes entre fabricantes de hardware wallets. En julio de 2026 se conoció una vulnerabilidad en el firmware de Coldcard a través de la cual los atacantes podían predecir frases semilla; las estimaciones apuntan a un robo de entre 1.300 y 1.800 bitcoins como resultado. Ledger también ha sido blanco de ataques recientemente, con sus cadenas de suministro como objetivo.
Esta serie de incidentes pone de relieve los desafíos a los que se enfrentan los fabricantes de hardware wallets para asegurar no solo sus dispositivos, sino también las cadenas de suministro y la infraestructura digital que los rodea, en un momento en el que este tipo de wallets se promocionan como la alternativa más segura frente al almacenamiento de criptoactivos mediante software.
