Keystone Hardware Wallet confirmó que un acceso no autorizado a su sitio web oficial expuso nombres de clientes, direcciones de correo electrónico, números de teléfono, direcciones de envío y registros de compras. La intrusión fue detectada el 20 de octubre de 2026 y confirmada tres días después, el 23 de octubre, tras una revisión de la actividad de la interfaz de programación de aplicaciones de Shopify, según una divulgación del 24 de octubre del fabricante de billeteras de hardware.

En la divulgación, la empresa indicó que un tercero no autorizado había obtenido información de pedidos. Keystone bloqueó el acceso, corrigió la vulnerabilidad identificada e inició una investigación. La empresa no ha identificado al atacante, y la cantidad de clientes afectados sigue sin revelarse. El anuncio no incluyó un recuento de las transacciones comprometidas.

Wu Blockchain, una cuenta de noticias de la industria cripto, compartió la divulgación en X:

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Registros de pedidos expuestos, credenciales de las billeteras intactas

El incidente expuso registros vinculados a compras de dispositivos de almacenamiento de criptomonedas, y no la información contenida dentro de las billeteras. Los registros comprometidos detallaban los productos adquiridos por los clientes y los precios pagados, junto con sus identidades y ubicaciones de entrega. Por lo tanto, la información afectada conectaba las compras de dispositivos con clientes identificables, pero no se reportó ningún compromiso de credenciales de billeteras.

Dado que las billeteras de hardware son bienes físicos que deben enviarse, sus fabricantes conservan la misma categoría de registros minoristas que cualquier comerciante de comercio electrónico — una característica estructural del mercado que ubica los datos de identidad de los clientes en sistemas de tiendas en línea, independientemente de la seguridad con la que operen los propios dispositivos.

Keystone declaró que los números de tarjetas de pago, los datos de cuentas bancarias, las contraseñas de billeteras, las claves privadas y las frases de recuperación no fueron expuestos. Sus billeteras realizan la firma de transacciones sin conexión, comunicándose mediante código QR en lugar de conexiones directas a dispositivos con acceso a internet.

La infraestructura de Shopify deja preguntas abiertas

Shopify opera la tienda en línea del fabricante y procesa su información de pedidos, según la política de privacidad de la empresa. Dicha política también establece que los registros se eliminan después de 180 días cuando un cliente no ha realizado otro pedido. La cláusula de eliminación no identifica qué compras históricas estuvieron incluidas en esta filtración, y la divulgación no especificó las fechas de las compras afectadas.

La divulgación tampoco estableció cuánto tiempo fue posible el acceso no autorizado. Los investigadores no han atribuido públicamente la intrusión ni explicado el método exacto utilizado para ingresar al sitio web. Los clientes afectados estaban siendo notificados por correo electrónico, y la empresa indicó que se publicará un informe más completo del incidente, aunque no proporcionó fecha de publicación.

Advertencias de phishing a los clientes

A pesar de las garantías sobre la seguridad de las billeteras, Keystone advirtió a los clientes que estén atentos a ofertas de reembolso fraudulentas, esquemas de dispositivos de reemplazo mensajes que afirman brindar asistencia con pedidos. Estos contactos pueden llegar por correo electrónico, llamadas telefónicas o mensajes de texto. Cada uno implica afirmaciones sobre el pedido o el dispositivo de un cliente — las categorías de información contenidas en los registros expuestos. Se recomendó a los clientes no compartir frases de recuperación ni claves privadas, no ingresar frases de recuperación en dispositivos de reemplazo inesperados y no seguir enlaces sospechosos. La empresa instó a los clientes a verificar toda comunicación a través de sus canales oficiales.

Parte de un patrón más amplio entre vendedores de billeteras de hardware

Esta filtración se suma a una serie de incidentes de datos de clientes que involucran a vendedores de billeteras de hardware. En agosto, Trezor reveló una filtración en su proveedor de envíos ShipMonk, e identificó posteriormente aproximadamente 67,000 clientes adicionales afectados en Estados Unidos. SafePal también reveló una falla de autorización en el seguimiento de pedidos que afectó a 39,798 clientes, en la cual los registros personales y de compras fueron expuestos sin compromiso directo de las credenciales de las billeteras.

En conjunto, los incidentes abarcan distintas capas de la cadena minorista — una plataforma de tienda en línea para Keystone, un proveedor de envíos para Trezor y una función de seguimiento de pedidos para SafePal. En todos estos incidentes, la información expuesta residía en sistemas de pedidos o fulfillment, y no en los mecanismos de firma de las billeteras. Keystone aún no ha revelado públicamente la cantidad de clientes afectados, el método de acceso subyacente ni la ventana de exposición. El informe más completo prometido, sin fecha indicada, es la vía anunciada para obtener esas respuestas.