TLDR:
- Keystone detectó un acceso no autorizado a su sitio web el 20 de octubre y confirmó la exposición de datos de clientes el 23 de octubre.
- Los registros expuestos incluían nombres de clientes, correos electrónicos, números de teléfono, direcciones de envío, productos y precios.
- Keystone afirmó que los datos de pago, las contraseñas de las carteras, las claves privadas y las frases de recuperación no se vieron comprometidos.
- Keystone no ha identificado al atacante, el número de clientes afectados ni la duración del acceso al sitio web.
Keystone Hardware Wallet confirmó que un acceso no autorizado a su sitio web expuso nombres de clientes, datos de contacto, direcciones de envío y registros de compras. La brecha, detectada el 20 de octubre de 2026, se confirmó tres días después tras una revisión de la actividad de la interfaz de programación de aplicaciones de Shopify.
En una divulgación del 24 de octubre, el fabricante de carteras de hardware afirmó que un tercero no autorizado había obtenido información de pedidos. La empresa bloqueó el acceso, corrigió la vulnerabilidad identificada y abrió una investigación, mientras que el número de clientes afectados permaneció sin revelar. La divulgación no incluyó ningún recuento de las transacciones afectadas.
Keystone confirma la exposición de datos de clientes tras un acceso no autorizado a su sitio web
Keystone Hardware Wallet confirmó que un tercero obtuvo información de envío y de pedidos de clientes tras un acceso no autorizado a su sitio web oficial. El incidente se detectó el 20 de octubre,… pic.twitter.com/tZMXH6xIHZ
— Wu Blockchain (@WuBlockchain) 24 de octubre de 2026
El incidente expuso registros vinculados a compras de dispositivos de almacenamiento de criptomonedas, en lugar de información contenida dentro de las propias carteras. Los registros comprometidos enumeraban los productos comprados y los precios, junto con las identidades de los clientes y las ubicaciones de entrega. La información afectada vinculaba las compras de dispositivos con clientes identificables, pero no se informó de ningún compromiso de credenciales de cartera.
La intrusión en el sitio web de Keystone expone pedidos y direcciones de clientes
Shopify opera la tienda en línea del fabricante y procesa su información de pedidos, según la política de privacidad de la empresa. Esa política también indica que los registros se eliminan después de 180 días cuando los clientes no han realizado otro pedido.
La disposición de eliminación no identifica qué compras históricas se incluyeron en esta brecha. Sin embargo, la divulgación no identificó las fechas de compra afectadas ni estableció cuánto tiempo pudo permanecer posible el acceso no autorizado.
Los investigadores no han atribuido públicamente la intrusión ni han explicado el método preciso utilizado para entrar en el sitio web. Se estaba notificando a los clientes afectados por correo electrónico. La empresa también afirmó que seguiría un informe de incidente más completo, aunque no proporcionó una fecha de publicación.
Keystone afirmó que los números de tarjetas de pago, los datos de cuentas bancarias, las contraseñas de las carteras, las claves privadas y las frases de recuperación no se expusieron. Sus carteras utilizan la firma de transacciones sin conexión, con comunicación por código QR que limita las conexiones directas a dispositivos con acceso a internet.
Las claves privadas permanecen seguras mientras se intensifican las advertencias de phishing
No obstante, la empresa advirtió a los clientes sobre ofertas fraudulentas de reembolso, esquemas de dispositivos de reemplazo y mensajes que afirman proporcionar asistencia con pedidos. Tales enfoques pueden aparecer a través de correo electrónico, llamadas telefónicas o mensajes de texto.
Se aconsejó a los clientes que no compartieran frases de recuperación ni claves privadas, que no introdujeran frases de recuperación en dispositivos de reemplazo inesperados ni siguieran enlaces sospechosos. La empresa también instó a verificar a través de los canales de comunicación oficiales.
La brecha se suma a otros incidentes de datos de clientes que involucran a vendedores de carteras de hardware. En agosto, Trezor divulgó una brecha del proveedor de envíos ShipMonk, identificando posteriormente aproximadamente 67.000 clientes estadounidenses adicionales afectados.
SafePal también divulgó una falla de autorización en el seguimiento de pedidos que afectó a 39.798 clientes. En ese caso, se expusieron registros personales y de compras sin un compromiso directo de las credenciales de cartera.
En todos estos incidentes, la información expuesta se encontraba en sistemas de pedidos o de cumplimiento, en lugar de en los mecanismos de firma de carteras. Keystone aún no ha divulgado públicamente su número de clientes afectados, el método de acceso subyacente ni la ventana de exposición.
La publicación Keystone Confirms Customer Data Breach Following Unauthorized Website Access apareció primero en Blockonomi.