Keystone destruirá 18,835 billeteras sin vender tras exponerse la llave que verifica sus dispositivos: quién está en riesgo y qué hacer

Keystone, fabricante de billeteras físicas (hardware wallets), publicó el 26 de octubre de 2026 su informe sobre el incidente de seguridad en su sitio web oficial, y el dato nuevo es serio: además de información de clientes, el atacante obtuvo la llave que la empresa usa para verificar que un dispositivo Keystone es auténtico. Como respuesta, Keystone destruirá 18,835 dispositivos sin vender, suspendió los envíos de su tienda oficial y cambiará esa llave en los equipos nuevos. Te explicamos qué cambió desde el primer aviso, quién está en riesgo y qué hacer.

Si quieres el contexto, el 25 de octubre te contamos el primer anuncio de la filtración en este artículo.

Qué se sabe ahora

Cómo entró el atacante: según Keystone, el 20 de octubre sus sistemas detectaron accesos inusuales al sitio. El atacante aprovechó una vulnerabilidad en una herramienta de monitoreo de datos de terceros que usaba el sitio para escalar privilegios. Ese mismo día la empresa bloqueó los accesos y desactivó funciones sensibles del sitio.
Registros de compradores: el incidente involucró 51,083 registros de compras hechas en la tienda Shopify del sitio oficial. De ellos, 25,119 ya habían sido borrados conforme a su política; los 25,964 restantes todavía tenían nombres, datos de contacto, direcciones de envío e información de pedidos de 2024 a 2026.
Compras sin pagar: otros 12,873 registros de compras que no se completaron (con nombre, contacto y datos de envío que capturaron los usuarios) se incluyeron en la respuesta por precaución.
Otros canales: según la empresa, los datos de compras hechas en Amazon y otros canales de venta no se vieron afectados.
Lo que no se expuso: frases de recuperación, llaves privadas, otras credenciales de billetera, datos bancarios de pago ni números de identificación oficial.

La política de 180 días no se cumplió

En nuestro primer artículo recogimos que varios clientes, según The Block, afirmaban que se habían expuesto datos de pedidos de hace más de 180 días. Keystone ahora lo reconoce: su política era borrar los datos de compradores a los 180 días, pero la herramienta automática que desarrolló para hacerlo en bloque falló en algunas tareas y la empresa no lo detectó a tiempo. “No cumplimos nuestro compromiso de borrar los datos de los clientes a tiempo y aceptamos la responsabilidad”, escribió.

El cambio importante: la llave de autenticación

Keystone ofrece una página para comprobar si un dispositivo es original. Esa verificación se basa en una llave que, según la empresa, se graba en los dispositivos durante la fabricación y no se puede borrar ni reescribir. El atacante la obtuvo.

¿Por qué importa? Porque con esa llave alguien podría fabricar dispositivos falsos que pasen la verificación de autenticidad y venderlos o enviarlos como si fueran originales. Una billetera falsificada puede estar diseñada para robar los fondos de quien la use. Keystone aclara que esta llave solo sirve para verificar autenticidad: no interviene en la generación de la frase de recuperación, en la derivación de llaves privadas ni en la firma de transacciones.

Por eso las medidas:

La producción deja de usar la llave anterior: todos los dispositivos nuevos usarán una llave nueva.
Los 18,835 dispositivos en inventario con la llave anterior serán destruidos; no se venderán ni enviarán.
Se suspendieron los envíos de todos los pedidos pendientes de la tienda oficial. Las ventas pasan a preventa hasta que se fabriquen los equipos con la llave nueva.

¿Quién está en riesgo?

Keystone toma como referencia el 20 de octubre de 2026, el día en que detectó el acceso:

Si recibiste tu dispositivo antes del 20 de octubre: según la empresa, su verificación no se ve afectada. Si pasa la verificación de autenticidad, puede considerarse original y usarse con normalidad. En respuestas en X, Keystone dijo que estos dispositivos se consideran seguros frente a este ataque.
Si lo recibiste después del 20 de octubre (con la llave anterior): aunque pase la verificación, la empresa dice que no puede descartar por completo que sea falso. Pide contactar a soporte para una verificación adicional y no usarlo hasta que se confirme que es auténtico. En una respuesta en X sobre compras a revendedores, Keystone fue directa: si recibiste tu Keystone después del 20 de octubre, “debe considerarse riesgoso”.

Keystone también afirma que no necesitas mover tus fondos solo por este incidente.

Qué hacer

No uses un dispositivo recibido después del 20 de octubre sin antes contactar a soporte oficial (support@keyst.one, según la empresa) y confirmar que es auténtico. Si ya lo configuraste, consulta a soporte antes de seguir usándolo.
Compra solo en canales oficiales. Desconfía de ofertas de revendedores desconocidos o de precios demasiado buenos mientras dure la preventa.
Nadie legítimo te pedirá tu frase de recuperación. Tampoco la escribas en una página web ni en un dispositivo que no pediste.
Keystone no pedirá que le devuelvas tu dispositivo. La empresa advierte que cualquiera que te contacte por un supuesto “retiro” (recall) y te pida enviarle el equipo debe tratarse como estafador.
Desconfía de mensajes y llamadas. Keystone alerta sobre contactos que ofrecen “migración de activos”, “verificación de billetera” o “ayuda con la investigación”. Si compraste en su tienda, tus datos podrían estar en manos de estafadores que los usen para hacer creíble el engaño.
Escribe tú mismo la dirección del sitio oficial (keyst.one) en el navegador en lugar de abrir enlaces de mensajes inesperados.

Si quieres repasar cómo funcionan estos engaños, en este artículo explicamos las alertas falsas que piden tu frase de recuperación.

Los siguientes pasos de Keystone

Reduce de inmediato el tiempo que conserva los datos personales de clientes de 180 a 90 días.
El 24 de octubre pidió a Shopify borrar los datos de compradores que excedían ese plazo; por las reglas de Shopify hay un periodo de espera de 10 días, así que prevé terminar el 3 de noviembre. También pidió borrar los datos de compras sin pagar con más de 30 días.
Notificará por correo a los clientes afectados y más adelante habilitará una página para consultar si tus datos se vieron afectados.
Hará una auditoría de seguridad y dice que ya presentó reportes ante autoridades en la Unión Europea, el Reino Unido y otras jurisdicciones.

No es el único caso de la semana

Según CoinDesk, un día antes del informe de Keystone otro fabricante de billeteras físicas, Foundation, reveló un incidente distinto en el que atacantes enviaron correos de phishing que parecían venir de sus dominios oficiales; la empresa dijo no tener evidencia de que sus dispositivos o llaves privadas estuvieran comprometidos.

Por qué importa

Una billetera física se basa en confiar en que el dispositivo es original. Este caso muestra que el riesgo no siempre está en el dispositivo, sino en lo que lo rodea: la tienda, los datos de los compradores y las llaves que sirven para comprobar su autenticidad. La recomendación de fondo no cambia: compra por canales oficiales, verifica tu dispositivo, nunca compartas tu frase de recuperación y desconfía de cualquier mensaje inesperado que diga venir de tu proveedor.

Lectura relacionada

Fuentes

Keystone, “Statement Regarding the Security Incident on Our Official Website and Customer Guidance” (enlace) (26 de octubre de 2026, en inglés).
Keystone, respuestas en X (enlace y enlace) (27 de octubre de 2026, en inglés).
CoinDesk, “Crypto wallet maker Keystone to destroy almost 19,000 devices after security breach” (enlace) (27 de octubre de 2026, en inglés).

Aviso: Este contenido es informativo y no constituye asesoría financiera ni legal, ni una recomendación de inversión. Las criptomonedas son volátiles y puedes perder una parte importante o la totalidad de lo invertido; investiga por tu cuenta antes de tomar cualquier decisión.

Publicado originalmente en Medio Crypto el 2026-10-27. Este contenido es informativo y no constituye asesoría financiera.