Keystone, fabricante de billeteras de hardware para criptomonedas, reveló que su reciente violación de seguridad fue mucho más grave de lo informado inicialmente, al disclose que atacantes robaron una clave de autenticación crítica que podría permitir que dispositivos falsificados superen las verificaciones oficiales de la empresa.

La empresa realizó esta revelación ampliada el 26 de octubre de 2026, después de haber informado inicialmente solo la exposición de información de clientes. En respuesta, Keystone planea destruir 18,835 billeteras de hardware, detener los envíos pendientes e implementar medidas de autenticación más rigurosas.

Los atacantes obtienen la clave WebAuth

Keystone detectó por primera vez un acceso no autorizado a su sitio web oficial el 20 de octubre. Los investigadores determinaron posteriormente que los atacantes explotaron una vulnerabilidad en una herramienta de monitoreo de datos de terceros, lo que les permitió obtener privilegios de acceso elevados.

Entre los datos sustraídos estaba la clave WebAuth de Keystone, la credencial utilizada para verificar si las billeteras de hardware son genuinas. Este tipo de verificación permite a los compradores confirmar que un dispositivo es legítimo y no una unidad falsificada o manipulada, lo que sitúa esta credencial en el centro de la confianza en el producto.

La clave está incrustada en los dispositivos durante la producción, por lo que no puede borrarse ni reemplazarse en las unidades ya en circulación; a diferencia de una contraseña filtrada, no puede simplemente rotarse. Como resultado, los delincuentes podrían en teoría producir billeteras falsificadas capaces de superar el proceso oficial de autenticación de Keystone, exponiendo potencialmente a tenedores de criptomonedas desprevenidos al robo de activos. Sin embargo, Keystone enfatizó que la clave robada no puede generar frases de recuperación, derivar claves privadas ni autorizar transacciones de criptomonedas. La empresa dijo que no ha confirmado ningún caso de dispositivos falsificados que hayan explotado la credencial comprometida.

18,835 dispositivos serán destruidos

Tras el hallazgo, Keystone anunció que destruirá 18,835 dispositivos que contienen la clave de autenticación comprometida. La empresa también suspendió los envíos de los pedidos pend en su sitio web hasta que estén disponibles las unidades de reemplazo.

Las billeteras de nueva fabricación llevarán una clave de autenticación diferente. Mientras tanto, Keystone ha trasladado las ventas de su sitio web a un modelo de preventa mientras prepara el inventario de reemplazo.

La investigación reveló además que los hackers accedieron a información personal vinculada a 25,964 registros de compra de clientes. Keystone también identificó 12,873 registros de checkout incompletos que podrían haber contenido datos sensibles de clientes. La información expuesta incluía nombres, datos de contacto, direcciones de envío e historiales de compra. La empresa reconoció que fallas en su sistema automatizado de eliminación permitieron que parte de la información de clientes permaneciera almacenada más tiempo del previsto.

Se insta a los usuarios a estar atentos a estafas

Keystone indicó que las billeteras entregadas antes del 20 de octubre siguen siendo confiables siempre que superen las verificaciones de autenticación. Se recomienda a los clientes que recibieron dispositivos con la clave anterior después de esa fecha que contacten al soporte oficial para una verificación adicional.

La empresa también advirtió a los usuarios sobre avisos fraudulentos de retiro, ofertas de reemplazo y solicitudes de transferencia de activos en criptomonedas. Keystone subrayó que jamás pedirá a los clientes que entreguen sus frases de recuperación ni que devuelvan dispositivos mediante solicitudes de retiro no solicitadas. Estas advertencias cobran mayor peso dado los registros expuestos, ya que nombres, direcciones e historiales de pedidos reales pueden hacer que los mensajes fraudulentos parezcan creíbles para los destinatarios.

Aunque las claves privadas y las frases de recuperación no fueron comprometidas, el incidente subraya que los riesgos de seguridad para los fabricantes de billeteras de hardware van más allá de los dispositivos themselves, e abarcan los datos de clientes y los sistemas de autenticación que sustentan la confianza de los inversores. Entre los desarrollos a seguir se incluyen si se confirma la existencia de dispositivos falsificados, cuándo se reanudan los envíos de reemplazo bajo el modelo de preventa y qué forma adoptarán las medidas de autenticación más rigurosas prometidas por Keystone.