Keystone, fabricante de hardware wallets de Bitcoin que mantienen fuera de línea los códigos privados que controlan las criptomonedas de los usuarios, informó el lunes que destruirá 18,835 dispositivos no vendidos después de que un atacante obtuvo la llave permanente de fábrica utilizada para verificar que sus productos son auténticos. La compañía también suspendió los envíos de todos los pedidos pendientes realizados a través de su sitio web.

La brecha, detectada el 20 de octubre, también afectó 25,964 registros de compradores de la tienda Shopify de Keystone, correspondientes a 2024 a 2026 e incluyendo nombres, datos de contacto y direcciones de envío. Keystone indica que las frases de recuperación y las llaves privadas no estuvieron involucradas, y que los dispositivos entregados antes del 20 de octubre no están afectados.

Para los compradores, el riesgo práctico es una wallet falsificada que parece nueva y pasa la propia verificación de Keystone, porque el atacante obtuvo justamente la llave de la que depende esa comprobación. Un delincuente podría vender un dispositivo así a alguien que cargue en él ahorros reales.

"Si se expone, un atacante podría usarla para producir dispositivos falsificados que pasen las verificaciones de autenticación", afirmó Keystone en su comunicado. "Estos dispositivos podrían luego venderse o enviarse a clientes, quienes podrían usarlos sin saberlo como productos genuinos, lo que podría resultar en el robo de activos".

Keystone denomina llave WebAuth a la credencial comprometida, un código secreto grabado en cada dispositivo en la fábrica para que una página del sitio web de la compañía pueda confirmar que el hardware es real. No puede borrarse ni reescribirse, razón por la cual las 18,835 unidades en inventario que la contienen serán destruidas en lugar de vendidas, y por la que los futuros dispositivos deberán construirse con una nueva llave.

Keystone había informado el sábado que un tercero había obtenido información de envío de clientes. El comunicado del lunes agregó la llave robada y el conteo de 25,964 registros de compradores afectados, pero no indica quién es el responsable ni cuándo el atacante obtuvo acceso por primera vez.

El incidente afectó registros de la tienda Shopify de Keystone, la plataforma de comercio electrónico que gestionó sus ventas en línea. Keystone señala que 51,083 registros de compradores estuvieron involucrados en total, pero 25,119 ya habían tenido su información personal borrada, dejando 25,964 registros de 2024 a 2026 que aún contenían nombres, datos de contacto, direcciones de envío e información de pedidos. Las compras realizadas por Amazon y otros canales no fueron afectadas.

Parte de esos datos ya debería haber sido eliminada, lo que significa que parte de lo expuesto por la brecha consistía en registros que Keystone se había comprometido a borrar. La política de la compañía era eliminar los registros de compradores después de 180 días, pero la herramienta automatizada de borrado masivo que construyó para esa tarea no funcionó de manera confiable.

"Algunas tareas de borrado fallaron y no detectamos ni atendimos estas fallas a tiempo, lo que provocó que cierta información personal se conservara más allá del período permitido", dijo Keystone. "No cumplimos nuestro compromiso de borrar los datos de los clientes a tiempo, y aceptamos la responsabilidad por este incumplimiento".

Las listas de clientes son un punto débil recurrente para los fabricantes de hardware wallets. La filtración de Ledger en 2020 llegó finalmente a unos 292,000 clientes, y quienes recibieron correos de phishing después temieron ser objetivo de robos violentos en sus hogares. Trezor y SafePal revelaron cada una brechas de datos de clientes en agosto, afectando a 13,689 clientes y alrededor de 39,798 clientes, respectivamente.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Los nombres y las direcciones importan por los llamados ataques de llave inglesa, en los que los delincuentes usan amenazas o violencia física para obligar a los dueños a entregar sus criptomonedas. Chainalysis contabilizó 46 ataques violentos en el primer semestre de 2026, con más de 30 millones de dólares robados.

El fabricante también advirtió sobre estafadores que ofrecen "migración de activos", "verificación de wallet" o "asistencia de investigación".

"No le pediremos que devuelva su dispositivo", dijo la compañía. "Cualquiera que lo contacte bajo el pretexto de un 'retiro de producto' y le pida enviarle su dispositivo debe ser tratado como un estafador".

Las ventas en el sitio web de Keystone pasarán a preventa hasta que se complete la producción de dispositivos con una nueva llave, y la compañía afirma haber presentado reportes ante autoridades de la UE, Reino Unido y otras jurisdicciones.

Keystone redujo su período de retención de datos de clientes de 180 a 90 días y solicitó a Shopify el 24 de octubre borrar todos los datos de compradores vencidos, un proceso con un período de espera de 10 días. La compañía espera que el borrado concluya el 3 de noviembre, dando a los clientes afectados una fecha concreta para verificar.