El fabricante de carteras de hardware Keystone confirmó una filtración de datos de clientes que expuso nombres, información de contacto, direcciones de envío y registros de compras después de que un tercero no autorizado obtuviera acceso a su sitio web.

La compañía detectó actividad sospechosa el 20 de octubre de 2026 y confirmó el robo de datos el 23 de octubre tras examinar la actividad de la API de Shopify. Los registros comprometidos incluían los productos comprados por los clientes y sus precios, detalles que podrían usarse para identificar a los propietarios de carteras de hardware y sus direcciones físicas. Dado que las carteras de hardware mantienen fuera de línea las claves privadas que controlan las criptomonedas, los registros que vinculan un dispositivo específico con una dirección de domicilio se consideran información sensible, incluso cuando los dispositivos en sí no fueron comprometidos.

Keystone reveló públicamente el incidente el 24 de octubre en un comunicado en X, confirmando que los datos de tarjetas de pago, la información bancaria, las frases de recuperación, las claves privadas y las contraseñas de carteras no fueron expuestos.

Desde entonces, el fabricante ha bloqueado el acceso no autorizado, corregido la vulnerabilidad y comenzado a notificar por correo electrónico a los clientes afectados. No ha indicado cuántos clientes fueron expuestos ni cómo el atacante obtuvo la información.

La actividad de la API de Shopify expuso registros de compras

La investigación de Keystone rastreó el acceso no autorizado hasta la infraestructura de comercio electrónico que respalda su sitio web, y no un compromiso de sus dispositivos de cartera de hardware. Los datos expuestos combinan identidades de clientes y direcciones de entrega con historiales de compra específicos, lo que crea oportunidades para que los atacantes suplanten al fabricante utilizando detalles genuinos de transacciones.

Un atacante podría hacer referencia a un pedido real de un cliente, al dispositivo comprado o a la dirección de envío al intentar extraer más información mediante llamadas, correos electrónicos o mensajes fraudulentos. Keystone ha advertido que los estafadores podrían ofrecer reembolsos, carteras de hardware de reemplazo o ayuda para resolver supuestos problemas de entrega, y estos contactos podrían llegar por correo electrónico, mensaje de texto, teléfono o correo postal.

La compañía no ha identificado al atacante, no ha establecido cuántos registros fueron sustraídos ni ha revelado si la intrusión involucró credenciales de API comprometidas, una vulnerabilidad de aplicación u otro método de acceso. La participación de Shopify en la investigación de la API no indica que la infraestructura más amplia de Shopify sido comprometida.

Lo último en una serie de filtraciones en fabricantes de carteras

El incidente se suma a una serie de filtraciones similares que involucran a fabricantes de carteras de criptomonedas y sus socios de comercio electrónico.

En septiembre, Trezor amplió su investigación sobre una filtración de datos en ShipMonk tras descubrir que aproximadamente 67,000 clientes estadounidenses adicionales habían tenido su información personal expuesta. Los registros afectados incluían nombres, números de teléfono, direcciones de correo electrónico, detalles de envío e historiales de pedidos que se remontaban a 2019, lo que amplió considerablemente un incidente que inicialmente involucró a 13,689 clientes.

En agosto, SafePal reveló una vulnerabilidad de seguimiento de pedidos que expuso información personal y de compras perteneciente a 39,798 clientes. La compañía rastreó el incidente hasta un defecto de autorización en un complemento utilizado para acceder a la información de envíos.

En enero, los clientes de Ledger enfrentaron intentos de phishing dirigidos tras una filtración en su socio de comercio electrónico Global-e, con mensajes fraudulentos difundidos utilizando datos de clientes expuestos a través del proveedor externo, una secuencia similar a los contactos de estafa posteriores sobre los que Keystone ahora advierte a sus propios clientes.

Aunque las causas técnicas y la infraestructura afectada fueron diferentes, cada caso involucró información de clientes almacenada en sistemas comerciales o de logística.

Advertencia contra dispositivos de reemplazo falsos

Keystone ha instado a los clientes a evitar hacer clic en enlaces de comunicaciones inesperadas y a acceder directamente a su sitio web oficial al buscar soporte. El fabricante advirtió específicamente contra ingresar frases de recuperación en dispositivos de reemplazo no solicitados o compartir claves privadas con cualquier persona que diga representar a su equipo de servicio al cliente.

Los clientes que ya hayan revelado una frase de recuperación a un presunto estafador deben considerar esa cartera como comprometida y transferir los activos restantes a una nueva cartera generada con una frase de recuperación nueva.

Keystone continúa su investigación y planea publicar un informe técnico detallado en los próximos días. La compañía no ha revelado evidencia de robo de criptomonedas como resultado de la filtración, ni ha confirmado un calendario para completar las notificaciones a los clientes. Se espera que su próximo informe de investigación proporcione más detalles sobre la intrusión y los registros de clientes afectados.