El fundador de OneKey, Yishi Wang, se comprometió a eliminar los datos de los clientes en un plazo de 30 días, tras el reconocimiento de un fallo por parte de Keystone, fabricante rival de billeteras de hardware, en su sistema de eliminación de datos a los 180 días, después de una filtración que expuso los registros de casi 26.000 compradores.
El centro de ayuda de Keystone señaló que Shopify se encarga de la eliminación definitiva de los registros de los usuarios. Esa revelación deja al descubierto una vulnerabilidad de seguridad en las tiendas de Shopify y las empresas de logística, fuera del control de fabricantes de billeteras como OneKey y Keystone, pese al compromiso de 30 días de la primera.
Por qué OneKey está reduciendo el periodo de conservación de datos
Yishi Wang, de OneKey, confirmó el martes que el fabricante de billeteras de hardware está auditando su propio sistema de seguridad después de que recientes brechas y ataques a la cadena de suministro expusieran fallos de seguridad en el sector en el que opera.
Wang hizo hincapié en que la medida es preventiva y escribió que «OneKey NO ha sufrido ningún incidente de seguridad». Más bien, la decisión de limitar la conservación de datos a 30 días es una respuesta directa a lo que salió mal en otras empresas.
El motivo para acortar el periodo de conservación de datos es que cuanto más tiempo conserva un proveedor los datos de sus clientes, mayor es el volumen de información que puede quedar expuesto en caso de una brecha.
¿Qué causó la brecha de Keystone?
Keystone reveló que el sistema que elimina automáticamente los datos de los clientes al finalizar el periodo de conservación de 180 días había dejado de funcionar sin activar ninguna alerta. «No cumplimos nuestro compromiso de borrar los datos de los clientes a tiempo y asumimos la responsabilidad por este fallo», afirmó la empresa.
Keystone descubrió que 25.964 registros aún contenían datos personales, nombres, direcciones de envío, datos de contacto e historiales de compra al revisar 51.083 registros de compradores de Shopify. Al parecer, todavía se conservaban datos que se remontaban a 2024, mucho más allá del límite de 180 días que la empresa destacó después de que los clientes de Ledger se enteraran de una filtración en su socio de comercio electrónico Global-e, en enero de 2026.
Los investigadores hallaron datos confidenciales en otros 12.873 registros de compras sin pagar.
En respuesta, Keystone redujo ahora su periodo de conservación a 90 días.
Keystone también reveló el 26 de octubre que los atacantes sustrajeron la clave WebAuth que sus dispositivos utilizan para demostrar que son auténticos. La empresa atribuyó la intrusión a un fallo en una herramienta de supervisión de terceros que permitió a los intrusos elevar su nivel de acceso. Keystone detectó la actividad por primera vez el 20 de octubre.
Como la clave se graba en cada dispositivo durante su fabricación y no se puede sobrescribir, Keystone planea destruir las 18.835 unidades que la incorporan y que tiene en inventario. Las nuevas billeteras llevarán una clave de reemplazo.
La empresa ha detenido los envíos de los pedidos pendientes realizados en su sitio web y ha pasado a aceptar pedidos anticipados.
Las promesas de eliminación de datos solo son tan fiables como los socios que los almacenan
Cabe destacar que los fabricantes de billeteras de hardware no son los únicos que conservan datos de sus clientes. Las plataformas de comercio electrónico y los socios de envío también gestionan nombres, direcciones e historiales de pedidos de clientes; y es en ese nivel donde se han producido la mayoría de las brechas recientes.
La filtración de datos de Trezor afectó a 81.000 clientes después de que su socio de envíos, ShipMonk, no eliminara los registros pese a haberlo asegurado repetidamente por escrito. SafePal expuso los datos de unos 39.798 clientes debido a un fallo en el seguimiento de pedidos y desde entonces ha reducido el periodo de conservación a 90 días. Ledger confirmó que dispositivos revendidos por CryptoBilis ocultaban chips que capturaban frases de recuperación. Cryptopolitan, citando a investigadores de la cadena de bloques, estimó las pérdidas en más de 86 millones de dólares.
Si estás leyendo esto, ya vas un paso por delante. Sigue así con nuestro boletín.