Resumen:
Keystone detectó el acceso no autorizado al sitio web el 20 de octubre y confirmó la exposición de datos de clientes el 23 de octubre.
Los registros expuestos incluían nombres de clientes, correos electrónicos, números de teléfono, direcciones de envío, productos y precios.
Keystone afirmó que los datos de pago, las contraseñas de las billeteras, las claves privadas y las frases de recuperación no se vieron comprometidos.
Keystone no ha identificado al atacante, el número de clientes afectados ni cuánto tiempo tuvo acceso al sitio web.
Keystone Hardware Wallet confirmó que el acceso no autorizado a su sitio web expuso nombres de clientes, datos de contacto, direcciones de envío y registros de compras. La filtración, detectada el 20 de octubre de 2026, se confirmó tres días después, tras revisar la actividad de la interfaz de programación de aplicaciones de Shopify.
En una divulgación del 24 de octubre, el fabricante de billeteras de hardware dijo que un tercero no autorizado había obtenido información sobre pedidos. La empresa bloqueó el acceso, corrigió la vulnerabilidad detectada y abrió una investigación, aunque no reveló cuántos clientes se vieron afectados. La divulgación no incluyó un recuento de las transacciones afectadas.
Keystone confirma la exposición de datos de clientes tras un acceso no autorizado al sitio web
Keystone, fabricante de billeteras de hardware, confirmó que un tercero obtuvo información sobre los envíos y pedidos de sus clientes tras acceder sin autorización a su sitio web oficial. El incidente se detectó el 20 de octubre,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 de octubre de 2026
El incidente expuso registros relacionados con la compra de dispositivos de almacenamiento de criptomonedas, no información almacenada dentro de las propias billeteras. Los registros comprometidos enumeraban los productos comprados y sus precios, junto con la identidad de los clientes y sus direcciones de entrega. La información expuesta vinculaba las compras de dispositivos con clientes identificables, pero no se informó de que se hubieran comprometido credenciales de billeteras.
La intrusión en el sitio web de Keystone expone pedidos y direcciones de clientes
Según la política de privacidad de la empresa, Shopify gestiona la tienda en línea del fabricante y procesa la información de sus pedidos. La política también indica que los registros se eliminan al cabo de 180 días si los clientes no han realizado otro pedido.
La disposición sobre la eliminación no especifica qué compras anteriores estaban incluidas en esta brecha. Sin embargo, la divulgación no indicó las fechas de compra afectadas ni determinó durante cuánto tiempo pudo mantenerse el acceso no autorizado.
Los investigadores no han atribuido públicamente la intrusión ni explicado el método exacto utilizado para acceder al sitio web. Se estaba notificando por correo electrónico a los clientes afectados. La empresa también dijo que publicaría un informe más completo sobre el incidente, aunque no indicó una fecha de publicación.
Keystone dijo que no quedaron expuestos números de tarjetas de pago, datos de cuentas bancarias, contraseñas de billeteras, claves privadas ni frases de recuperación. Sus billeteras firman las transacciones sin conexión, y la comunicación mediante códigos QR limita las conexiones directas con dispositivos conectados a internet.
Las claves privadas siguen seguras mientras se intensifican las advertencias sobre el phishing
Aun así, la empresa advirtió a sus clientes sobre ofertas fraudulentas de reembolso, estafas con dispositivos de reemplazo y mensajes que afirmaban ofrecer ayuda con los pedidos. Estos intentos pueden llegar por correo electrónico, llamadas telefónicas o mensajes de texto.
Se aconsejó a los clientes que no compartieran sus frases de recuperación ni claves privadas, que no introdujeran frases de recuperación en dispositivos de reemplazo inesperados y que no siguieran enlaces sospechosos. La empresa también recomendó verificar la información a través de los canales oficiales de comunicación.
La brecha se suma a otros incidentes de datos de clientes que han afectado a vendedores de billeteras de hardware. En agosto, Trezor informó de una brecha en el proveedor de envíos ShipMonk y posteriormente identificó a unos 67.000 clientes adicionales afectados en Estados Unidos.
SafePal también informó de un fallo de autorización en el seguimiento de pedidos que afectó a 39.798 clientes. En ese caso, quedaron expuestos datos personales y registros de compras, sin que se comprometieran directamente las credenciales de las billeteras.
En estos incidentes, la información expuesta se encontraba en sistemas de pedidos o gestión logística, no en los mecanismos de firma de las billeteras. Keystone aún no ha revelado públicamente cuántos clientes se vieron afectados, el método de acceso utilizado ni el período de exposición.
La publicación Keystone confirma una brecha de datos de clientes tras un acceso no autorizado al sitio web apareció primero en Blockonomi.