El fabricante de billeteras de hardware Keystone retiró cerca de 19,000 dispositivos de su inventario vendible y suspendió todos los pedidos pendientes realizados a través de su sitio web, después de que un atacante obtuviera la clave criptográfica que la empresa utiliza para verificar si una billetera Keystone es genuina. El robo abre la posibilidad de que hardware falsificado pudiera superar la propia verificación de autenticidad de Keystone.

En un comunicado publicado en X, la empresa afirmó que el atacante obtuvo la clave WebAuth que alimenta su página de autenticación de dispositivos —el mecanismo en el que se basan los compradores para confirmar que una billetera fue enviada directamente por el fabricante. Con esa clave en manos ajenas, un atacante sofisticado podría, en teoría, usarla para hacer que un dispositivo falso parezca legítimo ante cualquiera que realice el proceso estándar de verificación.

Keystone destruye inventario y congela envíos

En lugar de enviar existencias que ya no podía autenticar de manera confiable, Keystone dijo que destruirá 18,835 dispositivos del inventario que contienen la antigua clave WebAuth y que no venderá ni reenviará a los clientes ningún pedido web pendiente de envío.

Desechar casi 19,000 unidades es una medida inusual para una empresa de billeteras de hardware y señala la seriedad con la que Keystone está tratando esta brecha de autenticación. La empresa subrayó que la clave WebAuth no se utiliza para la generación de frases de recuperación, la derivación de llaves privadas ni la firma de transacciones, lo que significa que las billeteras que ya están en manos de los usuarios siguen siendo funcionalmente seguras para gestionar activos cripto.

Keystone también confirmó que los dispositivos entregados antes del 20 de octubre no están afectados, según Decrypt. La empresa dijo que presentó informes del incidente en la UE, el Reino Unido y otras jurisdicciones, aunque se trata de divulgaciones iniciadas por la propia compañía y no representan hallazgos ni acciones de aplicación de ningún regulador. Por ahora, las divulgaciones registradas son las de la propia Keystone; cualquier evaluación independiente de esas autoridades sería un nuevo desarrollo a seguir.

Los datos de clientes también se vieron envueltos en el incidente

Más allá del problema de autenticación de dispositivos, el episodio también expuso información personal vinculada al historial de pedidos de Keystone. Decrypt reportó que 25,964 registros de compradores conservan datos personales de compras realizadas entre 2024 y 2026.

Unchained reportó una cifra más amplia: 51,083 registros de compradores de Shopify estuvieron involucrados en total, aunque 25,119 de ellos ya tenían sus datos personales eliminados. Las cifras de ambos medios concilian aritméticamente: 51,083 menos los 25,119 registros eliminados dejan 25,964 — exactamente la cantidad que Decrypt citó como la que aún conserva datos personales. Adicionalmente, 12,873 registros de pagos no completados también conservan nombres, información de contacto y datos de envío.

La exposición de datos añade una preocupación de privacidad independiente al problema de autenticidad de los dispositivos, especialmente considering que los clientes de billeteras de hardware suelen ser identificables como poseedores de criptomonedas.

Por qué una clave de autenticación robada importa para el riesgo de falsificación

Las billeteras de hardware ocupan un rol de confianza específico en el ecosistema cripto: se supone que son dispositivos a prueba de manipulaciones y aislados de la red que nunca exponen llaves privadas a una computadora conectada a internet. Esa promesa depende, en parte, de que los compradores puedan confirmar que recibieron hardware genuino y no un dispositivo interceptado o reemplazado durante el tránsito.

La clave WebAuth en la página de autenticidad de Keystone era precisamente el mecanismo previsto para abordar ese riesgo de cadena de suministro. Si un atacante posee la clave, cualquier dispositivo falsificado que produzca podría generar un resultado de verificación de apariencia válida, dejando al comprador sin una forma confiable de distinguir un dispositivo legítimo de uno falso mediante la verificación estándar. La respuesta de Keystone —reemplazar la clave y destruir el inventario antiguo— es coherente con tratar la ruta de verificación como comprometida y no reparable en su lugar.

Vale la pena señalar que no se ha confirmado la aparición de ningún dispositivo Keystone falsificado en la cobertura pública del incidente. Las divulgaciones de la empresa describen el riesgo creado por la clave robada, no evidencia de que dispositivos falsos ya hayan llegado a compradores.

Qué deben hacer ahora los usuarios de la billetera Keystone

Para los usuarios que ya poseen un dispositivo Keystone, la declaración de la empresa de que la clave WebAuth no interviene en la generación de frases de recuperación, la derivación de llaves privadas ni la firma de transacciones es la información más relevante. Las billeteras existentes en manos de usuarios legítimos no están directamente comprometidas por el robo de la clave de autenticación, y las frases semilla almacenadas correctamente permanecen protegidas. Para orientación específica sobre el producto, lo prudente es seguir directamente los canales oficiales de Keystone en lugar de basarse en resúmenes de terceros.

Para los compradores que realizaron pedidos web que aún no se han enviado, Keystone indicó que esos pedidos están suspendidos. La empresa aún no ha detallado públicamente un cronograma de reposición o reenvío, por lo que los clientes afectados deben seguir las comunicaciones oficiales de Keystone para recibir actualizaciones. Quien considere comprar un dispositivo Keystone en el mercado secundario o a un revendedor debe ser especialmente cauteloso hasta que la compañía lance nuevos dispositivos con una nueva clave de autenticación, ya que los dispositivos con la clave antigua en circulación secundaria no pueden verificarse a través de la página de autenticidad anterior.

El incidente es un recordatorio de que la autenticación de la cadena de suministro es una superficie de ataque activa para los fabricantes de billeteras de hardware, particularmente a medida que crece el valor de los activos bajo autocustodia. El sentimiento general del mercado cripto se sitúa en Neutral (48) en el Fear and Greed Index, y Bitcoin cotiza cerca de $80,646 — indicadores de cuán substantial se ha vuelto la población de usuarios de autocustodia con holdings significativos, y de cuán directamente financieras pueden ser las consecuencias de un dispositivo comprometido.

La pregunta central para Keystone ahora es qué tan rápido puede reemitir dispositivos con una nueva clave WebAuth no comprometida y ofrecer a los compradores una ruta de autenticación de reemplazo confiable. Hasta que ese proceso esté completo y sea verificable de manera independiente, la verificación de autenticidad que la empresa construyó para proteger a los clientes contra hardware falso sigue estando disponible.

Descargo de responsabilidad: Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan un riesgo significativo. Siempre haga su propia investigación antes de tomar decisiones.