Keystone reveló el sábado 24 de octubre que su sitio web había sufrido un acceso no autorizado, lo que expuso datos de contacto de clientes y direcciones de envío asociadas a pedidos. La empresa afirmó que las claves privadas y las frases de recuperación no se vieron expuestas en el incidente. La revelación convierte a Keystone en la sexta marca de hardware wallets en reportar un incidente de seguridad en 2026, un año que ha puesto a prueba al sector del que dependen los poseedores europeos de criptomonedas para mantener sus activos fuera de línea.

La lista de fabricantes afectados abarca ya buena parte del mercado. Ledger fue el primero, después de que su proveedor de comercio electrónico Global-e sufriera una filtración de datos reportada el 5 de enero, que expuso nombres de clientes, datos de contacto, direcciones de envío y detalles de pedidos. Ledger volvió a los titulares el 10 de octubre, cuando confirmó un caso de manipulación física de un dispositivo vendido a través de un distribuidor. La unidad manipulada contenía un componente no autorizado capaz de capturar las palabras de recuperación durante la configuración y transmitirlas a terceros, un escenario que, de explotarse a gran escala, socavaría la promesa central de un hardware wallet.

Filtraciones de datos en Trezor y SafePal

Trezor reportó una brecha vinculada a su socio logístico ShipMonk el 13 de agosto, un alcance que después se amplió hasta cubrir a 80.689 clientes afectados. Ese mismo mes, el 16 de agosto, SafePal reveló una vulnerabilidad en su sistema de seguimiento de pedidos que expuso datos de aproximadamente 39.798 clientes, incluidos nombres, direcciones, información de contacto y detalles de compra.

Trezor también sufrió un acceso no autorizado a su cuenta de marketing en Brevo, reportado en agosto, que afectó los datos de decenas de miles de clientes. La empresa relacionó el incidente con campañas de phishing posteriores en las que los atacantes intentaron engañar a los usuarios para que entregaran información sensible de sus wallets. BitBox reportó un incidente similar relacionado con Brevo el 24 de septiembre, al señalar que los atacantes descargaron direcciones de correo electrónico de suscriptores, usadas después para distribuir mensajes de phishing. BitBox afirmó que sus dispositivos y sistemas internos no se vieron comprometidos.

Un fallo de 116 millones de dólares en COLDCARD

El incidente más costoso del año en términos económicos involucró a COLDCARD. El 30 de julio, la empresa reveló una vulnerabilidad relacionada con la generación criptográfica de semillas, derivada de una aleatoriedad insuficiente que podía, bajo ciertas condiciones, permitir la reconstrucción de claves privadas y el robo de fondos. Las pérdidas atribuibles a este fallo se han calculado en aproximadamente 116 millones de dólares.

En conjunto, los incidentes ilustran dos puntos de presión distintos sobre los proveedores de hardware wallets: los proveedores externos que gestionan datos de logística y marketing, y la integridad criptográfica y física de los propios dispositivos. Para los usuarios europeos, que han recurrido cada vez más a los hardware wallets en medio del escrutinio regulatorio sobre los exchanges custodios, el patrón subraya que la autocustodia desplaza el riesgo en lugar de eliminarlo.