La brecha de Keystone robó la clave de autenticidad de sus billeteras físicas y obligó a la empresa a destruir 18.835 aparatos que todavía no se habían vendido. El intruso entró al sitio web de la compañía el 20 de octubre y salió con esa llave digital y con los datos de miles de compradores. Keystone publicó los detalles el lunes 26 de octubre en su cuenta de X, y la medida inmediata fue frenar los envíos pendientes.
El acceso llegó por una falla en una herramienta de monitoreo de un tercero, instalada en la propia web. De acuerdo con la empresa, el atacante escaló privilegios desde esa pieza de software y alcanzó zonas que no debían estar a su alcance. CoinDesk contó la historia este 27 de octubre: es el tercer golpe fuerte contra fabricantes de billeteras físicas en pocos meses.
Una billetera física guarda las llaves privadas de las criptomonedas fuera de internet, en un aparato del tamaño de una memoria USB. Su promesa descansa en una idea simple: el aparato es genuino y nadie lo tocó antes. Esa promesa es justo la que quedó tocada.
Una llave grabada en fábrica que no admite reemplazo
La clave robada se conoce como llave WebAuth y se graba en cada aparato durante la fabricación. Sirve para que la página de verificación de Keystone confirme que una billetera es auténtica. El problema es de diseño y no tiene parche: una vez grabada, esa llave no se puede borrar ni reescribir, y la empresa lo admitió sin rodeos.
Con una copia de esa llave, un delincuente puede fabricar billeteras falsas que superen la verificación oficial como si fueran originales. Un aparato falso en manos de un comprador confiado abre la puerta al robo de fondos, porque la frase de recuperación —las 12 o 24 palabras que controlan el dinero— se escribe por primera vez en ese aparato. Keystone recalcó que la llave no participa en crear frases de recuperación, derivar llaves privadas ni firmar transacciones. El daño posible pasa por la suplantación del aparato, no por el cifrado interno.
La respuesta a la brecha de Keystone fue drástica y cara. Las 18.835 unidades del inventario con la llave comprometida serán destruidas, la producción cambió a una llave nueva y los pedidos del sitio web quedaron en pausa: las ventas nuevas aceptan solo preventas hasta que salgan aparatos con la llave renovada. Unchained detalló que los envíos de órdenes ya cobradas y no despachadas también quedaron congelados.
Qué aparatos se pueden seguir usando y cuáles piden una revisión extra
Para quien ya tiene una Keystone en casa, la fecha que manda es el 20 de octubre. Los aparatos entregados antes de ese día se consideran seguros si superan la verificación con la clave de autenticidad, y la empresa afirmó que nadie necesita mover sus fondos solo por esta brecha. El dinero no se toca; la revisión es sobre el origen del aparato.
El grupo con tarea pendiente es otro: quien recibió una billetera después del 20 de octubre con la llave anterior debe hablar con soporte antes de usarla, porque la compañía no puede descartar por completo que sea falsa, aunque la verificación la apruebe. Y un aviso que vale oro: Keystone no pedirá a nadie que devuelva su aparato. Todo mensaje que hable de una recogida oficial o de migrar fondos a otra billetera es una estafa disfrazada de ayuda, advirtió la empresa.
Los datos de los compradores quedaron guardados más tiempo del prometido
La otra mitad del golpe es la libreta de clientes. La intrusión tocó 51.083 registros de la tienda en Shopify; en 25.119 los datos ya habían sido borrados, pero 25.964 registros de compras entre 2024 y 2026 conservaban nombres, datos de contacto, direcciones de envío e información del pedido. Otros 12.873 registros de compras iniciadas y nunca pagadas también guardaban datos. Frases de recuperación, llaves privadas, datos bancarios y documentos de identidad quedaron fuera del alcance del intruso, precisó la empresa.
Parte de esos registros debió desaparecer hace meses. La política interna ordenaba borrar los datos de los compradores a los 180 días, pero la herramienta automática de borrado falló sin que nadie lo notara. «Fallamos en cumplir nuestro compromiso de borrar los datos de los clientes a tiempo y aceptamos la responsabilidad por ese fallo», escribió Keystone. La corrección anunciada recorta la retención a 90 días, y la empresa espera completar el borrado atrasado el 3 de noviembre, tras el periodo de espera de diez días que pidió a Shopify. También presentó reportes ante autoridades de la Unión Europea, el Reino Unido y otras jurisdicciones.
El patrón se repite en la competencia. Foundation, otro fabricante de billeteras físicas, reveló un día antes una brecha propia: correos de suplantación enviados desde sus dominios oficiales, más de 23.000 intentos y copias viejas de su base de datos que su borrado de 60 días no había alcanzado, con unas 5.600 direcciones postales y 5.200 teléfonos. Ledger enfrentó aparatos con componentes ocultos vendidos por revendedores en el sudeste asiático, y un fallo de Coldcard en la generación de semillas permitió reconstruir llaves privadas. Cuatro marcas, cuatro rutas distintas, el mismo punto débil: la cadena que rodea al aparato. La producción de las nuevas unidades de Keystone con llave renovada sigue sin fecha de salida.
Fuente: CoinDesk
Foto: Sebastiaan Stam / Unsplash vía CoinDesk
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
