El fabricante de carteras de hardware para criptomonedas Keystone reveló una filtración de seguridad en su sitio web que expuso información de clientes a atacantes, lo que genera preocupaciones sobre estafas dirigidas y ataques físicos.

La empresa dijo el sábado que detectó actividad sospechosa a inicios de la semana y confirmó el viernes, tras revisar la actividad de la API con Shopify, que un tercero no autorizado había accedido a la información de envío de clientes. Los datos expuestos incluían nombres, datos de contacto, direcciones de envío y otros detalles de pedidos, como los artículos comprados.

"Hemos bloqueado el acceso, corregido la vulnerabilidad, abierto una investigación y estamos enviando correos electrónicos a los clientes afectados", señaló la empresa en una declaración en X.

Keystone advirtió que la información expuesta podría usarse para ataques de phishing dirigidos. La investigadora de seguridad Taylor Monahan planteó preocupaciones adicionales, al señalar que la filtración de direcciones de envío podría exponer a los clientes a ataques físicos y secuestros. El episodio pone de relieve una vulnerabilidad propia de la propiedad de carteras de hardware: los dispositivos están diseñados para mantener las claves privadas fuera de línea, pero los datos de clientes que conservan sus fabricantes pueden usarse en contra de quien posee la cartera.

La revelación llega en medio de un aumento de los llamados "wrench attacks" —crímenes en los que se utilizan amenazas o violencia física para obligar a poseedores de criptomonedas a entregar sus activos—. La firma de seguridad blockchain CertiK registró 52 wrench attacks verificados en todo el mundo en el primer semestre de 2026, un aumento del 33% respecto de los 39 del mismo período del año anterior.

"Una vez más, lamentamos profundamente lo ocurrido a todos los afectados", dijo Keystone. La empresa no reveló cuántos clientes fueron impactados.

Cuestionan a Keystone por su promesa de eliminar datos de clientes

La filtración también generó preguntas sobre el manejo de información de clientes antiguos por parte de Keystone. En una entrada de blog de 2023, la empresa dijo que había reducido su período de retención de datos de clientes a 180 días tras incidentes de seguridad que afectaron a otros fabricantes de carteras de hardware.

Sin embargo, algunos clientes dijeron haber recibido notificaciones de la filtración pese a haber comprado sus dispositivos hace más de dos años, lo que plantea dudas sobre qué información conservó Keystone y si las notificaciones indican que los registros de pedidos antiguos no fueron eliminados como se prometió.

Un usuario de X conocido como "OG DEGEN" dijo haber recibido una llamada de un estafador que afirmaba ser un agente de la ley que investigaba un caso de fraude. Según la información personal que mencionó la persona que llamó, el usuario sospechó que fue obtenida a través de un pedido de Keystone realizado en 2024.

"Creo que su plan era convencerme de que mis claves privadas habían sido expuestas y luego enviarme un enlace de phishing supuestamente restablecerlas", escribió el usuario en X. Esa combinación de suplantación, urgencia y un enlace para "corregir" claves expuestas sigue una estructura de phishing conocida, orientada a que los usuarios ingresen su frase de recuperación —el conjunto de palabras que puede restaurar el contenido de una cartera de hardware en cualquier lugar— en un sitio controlado por atacantes.

Otro usuario de X, trintaetres, también dijo haber recibido la notificación por correo electrónico pese a haber comprado el dispositivo hace más de dos años.

Cointelegraph contactó a Keystone para preguntar cómo pudo exponerse información de clientes de compras realizadas hace más de 180 días pese a la política de retención anunciada previamente, y cuántos clientes fueron afectados. La empresa no respondió antes de la publicación. Con la investigación en curso, lo que los clientes afectados y los observadores vigilarán ahora es si Keystone explica por qué aparentemente se conservaron registros más allá del plazo de 180 días, y cuántas personas quedaron expuestas.