Keystone confirma una filtración de datos de clientes y corrige el acceso

La empresa detectó el acceso el 20 de octubre y dijo que las frases de recuperación¹, las claves privadas², las contraseñas y los datos de pago no quedaron expuestos.

Keystone bloqueó el acceso, corrigió la vulnerabilidad, abrió una investigación y empezó a notificar a los clientes afectados por correo. La compañía no reveló cuántas personas fueron afectadas.

¿Qué riesgos concretos implica la filtración de direcciones de envío?

La investigadora de seguridad Taylor Monahan advirtió que la exposición de direcciones de envío podría facilitar ataques físicos y secuestros contra los clientes, aunque no hay evidencia confirmada de que la información robada haya resultado en ataques físicos.

Según CertiK, se registraron 52 ataques de tipo ‘wrench attack’ verificados en todo el mundo en el primer semestre de 2026, un aumento del 33% respecto a los 39 del mismo período del año anterior.

¿Por qué algunos clientes antiguos recibieron notificaciones?

Keystone dijo en un blog de 2023 que había reducido su período de retención de datos de clientes a 180 días tras incidentes de seguridad en otros fabricantes de hardware wallets³.

Sin embargo, algunos clientes dijeron haber recibido notificaciones de la brecha a pesar de haber comprado sus dispositivos hace más de dos años, lo que plantea dudas sobre si Keystone retuvo datos antiguos a pesar de su política de retención de 180 días.

¿Qué precedente existe en la industria?

El incidente de Keystone recuerda la brecha de datos de Ledger de julio de 2020, en la que un atacante accedió a una parte de su base de datos de comercio electrónico y marketing a través de una clave API, exponiendo aproximadamente 1 millón de direcciones de correo electrónico y datos detallados de clientes.

Por qué importa

La filtración expone datos que podrían facilitar estafas dirigidas, aunque Keystone afirma que las claves y frases de recuperación siguen protegidas. Si recibes un mensaje inesperado, no compartas esas credenciales ni las introduzcas en un dispositivo que no hayas solicitado.

Notas

1. Frase de recuperación: Conjunto ordenado de palabras utilizado por muchas wallets para generar o recuperar sus claves. También se denomina frase semilla o seed phrase. Ver en el glosario ↩
2. Clave privada: Número secreto utilizado para crear firmas digitales que autorizan el gasto de bitcoin. Ver en el glosario ↩
3. Wallet de hardware: Dispositivo especializado diseñado para generar, almacenar y utilizar claves privadas con mayor aislamiento frente al ordenador o móvil. Ver en el glosario ↩