Keystone destruirá 18,835 billeteras cripto tras un hackeo

El fabricante de billeteras cripto de hardware Keystone anunció el 26 de octubre de 2026 la destrucción de 18,835 dispositivos no vendidos. Además, se suspenden los envíos tras el hackeo de su sitio el 20 de octubre. Según Keystone, el hacker cripto obtuvo una clave que permitiría a dispositivos falsificados pasar los controles de autenticidad de la marca, así como 25,964 registros de compradores.

En resumen

• 18,835 billeteras cripto no vendidas serán destruidas y los envíos están suspendidos (Keystone, 26 de octubre de 2026).
• El sitio fue hackeado el 20 de octubre a través de una herramienta de terceros para el seguimiento de datos: 25,964 registros de compradores, de 2024 a 2026, están expuestos.
• Una clave de autenticidad grabada en la fabricación, no modificable, ha sido expuesta: podría permitir que falsificaciones se hagan pasar por dispositivos auténticos.

¿Qué ocurrió durante el hackeo de Keystone?

Un hacker cripto accedió al sitio de Keystone el 20 de octubre de 2026 a través de una vulnerabilidad en una herramienta de terceros para el seguimiento de datos. La intrusión expuso 25,964 registros de compradores que abarcan de 2024 a 2026:

• nombres;
• datos de contacto;
• direcciones de envío;
• información de pedidos.

Keystone añade que 12,873 registros de pedidos no pagados podrían haber sido afectados. Sumando ambos números, se cuentan hasta 38,837 registros afectados por este hackeo cripto. La empresa sostiene firmemente que las frases de recuperación no han sido expuestas. Lo mismo ocurre con las claves privadas y los identificadores de billeteras cripto. Sin embargo, esta afirmación no ha sido confirmada por una fuente independiente.

¿Por qué Keystone destruye 18,835 billeteras cripto no vendidas?

Keystone destruye 18,835 billeteras cripto no vendidas porque la clave de autenticidad expuesta está integrada en cada dispositivo durante la producción. Por lo tanto, no puede ser modificada. Una clave de autenticidad es un identificador secreto grabado en el dispositivo, que los controles en línea verifican para confirmar su origen. Con ella, dispositivos falsificados podrían pasar por auténticos.

Las 18,835 billeteras cripto no han sido vendidas. Esto permite a Keystone retirarlas antes de que lleguen a los clientes. En este momento, Keystone tampoco especifica si ya circulan dispositivos falsificados.

En cuanto a la conservación de datos, Keystone reconoce una falla. Una herramienta de borrado automático efectivamente falló sin que la empresa lo detectara, dejando así registros más allá del plazo de 180 días.

No hemos cumplido nuestro compromiso de borrar los datos de los clientes a tiempo, y asumimos la responsabilidad de este fallo. Keystone, fabricante de billeteras de hardware, publicación en X, 26 de octubre de 2026 (traducido del inglés)

|---------------------------------------|-----------------------|---------------------------------------------------| | Elemento | Volumen | Estado según Keystone | | Registros de compradores (2024 a 2026) | 25,964 | Expuestos: nombres, datos de contacto, direcciones, pedidos | | Registros de pedidos no pagados | 12,873 | Podrían haber sido afectados | | Clave de autenticidad | 1 clave, no modificable | Expuesta | | Frases de recuperación, claves privadas | No especificado | No expuestas |

Fuente: Keystone, publicación en X del 26 de octubre de 2026; datos recogidos el 27/10/2026.

¿Qué cambia este incidente cripto para un comprador en Francia?

Según Keystone, las billeteras cripto entregadas antes del 20 de octubre de 2026 siguen siendo seguras si pasan la autenticación. Sin embargo, los clientes que hayan recibido después de esta fecha un dispositivo con la antigua clave deben verificarlo antes de cualquier uso. Keystone añade que los usuarios tampoco tienen que mover sus fondos solo por esta intrusión.

La empresa también se compromete a reemplazar la clave de autenticidad en las nuevas billeteras cripto. ¡Y no solo eso! Cambiará las ventas del sitio a preorden y reducirá la conservación de datos de clientes a 90 días, en lugar de 180 hoy (es decir, la mitad).

Bueno saber: otro fabricante, Foundation, reportó el día anterior un incidente distinto. La empresa ha contabilizado más de 23,000 intentos de phishing cripto desde direcciones que parecían oficiales. No encontró ninguna prueba de compromiso de los dispositivos Passport ni de las claves privadas. Copias antiguas de bases de datos habían escapado a su borrado a 60 días: aproximadamente 5,600 direcciones postales y 5,200 números de teléfono son accesibles, sin que Foundation pueda confirmar cuántos lo han sido.

Ambos hackeos cripto afectan, por lo tanto, primero a datos de ventas, a los que se suma en Keystone una clave de autenticidad. Además, un borrado previsto no se realizó en ambos casos. Queda por ver si aparecen dispositivos falsificados con la antigua clave y si Keystone detalla su investigación, sin fecha anunciada en este momento. Para un comprador, en todo caso, el desafío de las próximas semanas será controlar la autenticidad de una billetera cripto nueva con su fabricante o un revendedor oficial.