Keystone ha pedido a los usuarios que actualicen su aplicación Nexus a la versión 1.3.7 después de que un ciberataque interrumpiera algunos de sus servicios.
Es la tercera alerta de seguridad que publica el fabricante de carteras de hardware en aproximadamente dos semanas.
El ataque a Nexus App y la solución de la versión 1.3.7
Keystone publicó en X el viernes 6 de noviembre que algunos servicios de Nexus App habían sido hackeados en un ciberataque y que varios usuarios no pudieron usar la aplicación durante un tiempo.
Dijo que el equipo había respondido y reforzado la seguridad de los servidores. La empresa escribió que, tras su investigación, «no encontró pruebas de que los activos o la información personal de los usuarios se hubieran visto afectados».
Keystone se disculpó por la interrupción e indicó a los usuarios que actualizaran la aplicación a la versión 1.3.7. También añadió que debían confirmar que la aplicación que estaban descargando tuviera a «Yanssie HK Limited» como desarrollador. Señaló que cualquier otra aplicación que no tuviera ese desarrollador no era suya.
Una brecha en una tienda expuso 25.964 registros de compradores
La primera revelación se produjo cuando Keystone admitió que un intruso había accedido a su tienda en línea, que funciona con Shopify.
El acceso no autorizado se detectó el 20 de octubre. La empresa confirmó el 23 de octubre que un tercero había extraído datos de envío de clientes, e hizo pública esa información al día siguiente.
Los registros robados contenían nombres, datos de contacto, direcciones de envío e información de pedidos, como qué dispositivos habían comprado los clientes.
La empresa afirmó que no quedaron expuestos los datos de tarjetas de pago, los datos bancarios, las frases de recuperación ni las claves privadas.
Se informó que entre los registros robados había 25.964 registros de compradores que realizaron compras entre 2024 y 2026. Como medida de precaución, la empresa también contabilizó 12.873 registros de pagos pendientes.
La filtración incluyó domicilios, lo que llevó a la investigadora de seguridad Taylor Monahan a señalar que podía exponer a los titulares a «ataques con llave inglesa»: amenazas físicas usadas para obligar a los propietarios a entregar sus criptomonedas.
La plataforma de seguridad cripto Certik registró 52 ataques de este tipo durante el primer semestre de 2026. El año anterior solo se habían registrado 39 incidentes de este tipo.
18.835 carteras destinadas a la destrucción
Unos días después de revelar el robo de registros de usuarios, Keystone volvió a ser noticia al afirmar que el mismo atacante responsable del primer ataque también había sustraído la clave WebAuth que usan sus dispositivos para demostrar que son auténticos.
Según se informó, el atacante aprovechó una vulnerabilidad en una herramienta de monitorización de terceros del sitio web para elevar sus privilegios y luego sustrajo tanto los datos de los clientes como la clave.
El principal problema es que la clave se graba en cada dispositivo durante la fabricación y no se puede reescribir.
Cualquiera que tuviera la clave podría fabricar un dispositivo falso que superara el propio control de autenticidad de Keystone. Keystone decidió desechar las 18.835 unidades sin vender que llevaban la clave comprometida
La empresa afirmó que una cartera entregada antes del 20 de octubre que supere el control es auténtica. En cuanto a las unidades con la clave antigua recibidas después de esa fecha, «no puede descartar por completo la posibilidad de que sean falsificadas», por lo que indicó a sus propietarios que se pusieran en contacto con el servicio de asistencia antes de usarlas.
Hasta ahora, no ha informado de ningún dispositivo falsificado ni de robos.
El período de conservación se redujo a 90 días tras fallar una herramienta de eliminación
Keystone había anunciado que borraba los datos de envío 180 días después de un pedido. Sin embargo, los clientes informaron haber recibido avisos sobre la brecha por compras realizadas hacía más de dos años.
La herramienta automatizada de borrado de la empresa falló y dejó intactos los registros antiguos.
Como resultado, Keystone redujo su período de conservación a 90 días. También pidió a Shopify que eliminara los datos personales anteriores a ese plazo; se esperaba que los registros atrasados desaparecieran antes del 3 de noviembre.
La competidora OneKey también limitó su propio período de conservación a 30 días tras el incidente de Keystone.
En 2026, muchos proyectos cripto han tenido un año difícil en lo que respecta a los ciberataques. Los proveedores de carteras de hardware tampoco se han librado.
En agosto, una filtración de datos que afectó a ShipMonk, uno de los socios logísticos de Trezor, afectó a unos 81.000 clientes.
SafePal expuso los datos de unos 39.798 usuarios debido a un fallo en el seguimiento de pedidos, y Ledger encontró chips ocultos en dispositivos revendidos que investigadores de la cadena relacionaron con pérdidas superiores a 86 millones de dólares.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.