Keystone destruirá miles de monederos tras el robo de su clave de autenticidad

Keystone, fabricante de monederos físicos de criptomonedas, confirmó el 26 de octubre un robo grave. El atacante que entró en su tienda en línea se llevó también la clave que prueba que sus aparatos son auténticos. Con ella, alguien podría fabricar monederos falsos que pasen la verificación oficial. Quien recibió un dispositivo después del 20 de octubre debe contactar al soporte para una comprobación adicional antes de usarlo. Las frases de recuperación, las claves privadas y los fondos de los usuarios no se vieron afectados.

El nuevo informe amplía lo que la empresa había contado dos días antes. Entonces Keystone solo confirmó la filtración de nombres y direcciones de envío, sin precisar el alcance. Ahora detalla que el atacante aprovechó una falla en una herramienta externa de monitoreo de datos usada por su web. Esa falla le permitió ganar más permisos de los que debía tener. Keystone dice que bloqueó el acceso el mismo 20 de octubre y corrigió la vulnerabilidad.

La clave robada es la más delicada del caso. Se graba en cada monedero durante la fabricación y no puede borrarse ni cambiarse después. Sirve solo para el proceso de autenticación web, en el que el usuario comprueba en la página de Keystone que su aparato es genuino. No interviene en la creación de la frase de recuperación ni en la firma de transacciones.

Un monedero falso que supere esa prueba podría robar los fondos de quien lo use creyéndolo legítimo. Es lo que se conoce como ataque a la cadena de suministro, en el que el engaño ocurre antes de que el producto llegue al cliente. Keystone aclaró en X que la clave con la que firma las actualizaciones de su software interno es distinta y no se vio comprometida.

La respuesta de la empresa pasa por retirar todo lo fabricado con la clave vieja. Destruirá los 18.835 monederos que tenía en inventario y suspendió el envío de los pedidos pendientes. Las ventas pasan a ser preventas hasta que estén listos los aparatos con la clave nueva. Según la empresa, esos envíos empezarán en un plazo de cuatro a seis semanas.

El informe también precisa la filtración de datos personales. El incidente alcanzó 51.083 registros de compras hechas en su tienda de Shopify, la plataforma de comercio electrónico que usa. De ellos, 25.964 aún conservaban nombre, contacto, dirección de envío y detalles del pedido, de compras hechas entre 2024 y 2026. Se suman 12.873 compras sin pagar que también guardaban datos de contacto y envío.

Keystone admite un fallo propio en esa cifra. Su política prometía borrar los datos a los 180 días, pero la herramienta automática que creó para hacerlo fallaba sin que nadie lo notara. Ahora reduce el plazo a 90 días y pidió a Shopify borrar los datos vencidos, algo que prevé completar el 3 de noviembre. Ya notificó a las autoridades de la Unión Europea, el Reino Unido y otras jurisdicciones.

Para los clientes, la medida más importante depende de la fecha de entrega. Un monedero recibido antes del 20 de octubre que pase la verificación puede usarse con normalidad. Uno recibido después necesita una comprobación extra, aunque la página oficial lo dé por bueno. Para hacerla, hay que seguir las instrucciones de keyst.one/authentication, la página de autenticación, o escribir a [email protected], el soporte oficial.

La otra precaución protege contra las estafas que suelen seguir a estas filtraciones. Keystone no pedirá devolver ningún aparato, y cualquier supuesto retiro del mercado que lo solicite es un fraude. Nadie debe dar su frase de recuperación ni aceptar ofertas de migrar fondos o verificar el monedero. La empresa prepara una página para consultar si los datos de cada cliente quedaron expuestos.

Como análisis, el robo de la clave cambia la naturaleza del incidente. Una lista de compradores expone a personas, pero una clave de autenticidad comprometida debilita la herramienta con la que los usuarios se defienden de aparatos manipulados. Destruir el inventario es costoso, pero es la única forma de cortar ese riesgo de raíz. Falta saber si Keystone ofrecerá una forma de verificación nueva para los aparatos ya entregados.