El fabricante de billeteras de hardware Keystone ha instado a los usuarios a actualizar su app Nexus a la versión 1.3.7 después de que un ciberataque interrumpiera algunos de los servicios de la aplicación. Anunciado el viernes 6 de noviembre, es la tercera divulgación de seguridad que la compañía emite en aproximadamente dos semanas, tras una brecha de datos de clientes en su tienda en línea y el robo de una clave utilizada para verificar que sus dispositivos son genuinos.

El ataque a la app Nexus y la corrección v1.3.7

En una publicación en X, Keystone indicó que algunos servicios de la Nexus App habían sido comprometidos en un ciberataque y que varios usuarios no pudieron usar la aplicación durante un período de tiempo. La compañía dijo que su equipo respondió al incidente y reforzó la seguridad de los servidores. El anuncio de Keystone no detalló qué servicios fueron afectados ni atribuyó el ataque.

Tras una investigación, Keystone escribió que "no encontró evidencia de que los activos de los usuarios o la información personal se hayan visto afectados". La compañía se disculpó por la interrupción y dirigió a los usuarios a actualizar la aplicación a la v1.3.7. También recomendó a los usuarios confirmar que cualquier aplicación que descarguen indique a "Yanssie HK Limited" como desarrollador, y añadió que una aplicación sin ese desarrollador listado no es de Keystone.

Una brecha en la tienda que expuso 25,964 registros de compradores

La primera divulgación se refería a un intruso que accedió a la tienda en línea de Keystone, impulsada por Shopify. Según informes anteriores de Cryptopolitan, el acceso no autorizado fue detectado el 20 de octubre, y el 23 de octubre la compañía confirmó que un tercero había extraído datos de envío de clientes, haciendo pública la información al día siguiente.

Los registros robados contenían nombres, datos de contacto, direcciones de envío e información de pedidos, incluidos los dispositivos que los compradores habían adquirido. La compañía señaló que las tarjetas de pago, los datos bancarios, las frases de recuperación y las claves privadas no quedaron expuestas.

Se informó que 25,964 registros de compradores de compras realizadas entre 2024 y 2026 estaban entre los datos robados. Keystone también contabilizó 12,873 registros de pagos no completados como medida de precaución.

Dado que las direcciones de domicilio formaban parte de la filtración, la investigadora de seguridad Taylor Monahan señaló que podría exponer a los titulares al riesgo de "ataques con llave inglesa": amenazas físicas utilizadas para obligar a los propietarios a entregar sus criptomonedas. La plataforma de seguridad cripto Certik registró 52 ataques de este tipo en el primer semestre de 2026, frente a los 39 incidentes registrados el año anterior.

18,835 billeteras destinadas a la destrucción

Días después de revelar el robo de registros de usuarios, Keystone dijo que el mismo atacante responsable de la primera brecha también había tomado la clave WebAuth que sus dispositivos utilizan para demostrar que son genuinos. Según se informó, el atacante aprovechó una falla en una herramienta de monitoreo de terceros en el sitio web de la compañía para escalar privilegios y luego obtuvo tanto los datos de clientes como la clave.

El problema es significativo porque la clave está grabada en cada dispositivo durante la fabricación y no puede reescribirse. Cualquier persona con la clave podría construir un dispositivo falso que pase la propia verificación de autenticidad de Keystone. En respuesta, Keystone decidió desechar las 18,835 unidades no vendidas que llevaban la clave comprometida.

La compañía dijo que una billetera entregada antes del 20 de octubre que pase la verificación es genuina. Para las unidades con la clave antigua recibidas después de esa fecha, "no puede descartar por completo la posibilidad de que sea una falsificación", y pidió a esos propietarios contactar al soporte antes de usarla. No ha reportado dispositivos falsificados ni robos hasta el momento.

Retención reducida a 90 días tras el fallo de una herramienta de borrado

Keystone había anunciado que borraba los datos de envío 180 días después de un pedido, pero los clientes reportaron haber recibido avisos de brecha por compras de más de dos años, como reportó Cryptopolitan. La herramienta automatizada de borrado de la compañía había fallado, dejando los registros antiguos en su lugar.

Keystone redujo posteriormente su período de retención a 90 días y pidió a Shopify eliminar los datos personales anteriores a ese plazo, y se espera que los registros vencidos estén eliminados para el 3 de noviembre. Su competidor OneKey también limitó su propio período de retención a 30 días tras el incidente de Keystone.

Los proyectos cripto han tenido un año difícil en cuanto a ciberataques en 2026, y los proveedores de billeteras de hardware no han sido la excepción. En agosto, una brecha de datos en ShipMonk, uno de los socios logísticos de Trezor, afectó a alrededor de 81,000 clientes. SafePal expuso a unos 39,798 usuarios a través de una falla en el seguimiento de pedidos, y Ledger encontró chips ocultos en dispositivos revendidos que investigadores on-chain vincularon a pérdidas superiores a 86 millones de dólares. La racha de divulgaciones de Keystone en dos semanas refleja esa amplitud, con incidentes que abarcan su tienda, sus herramientas web, su inventario de dispositivos no vendidos y los servicios de su aplicación.