Keystone eliminará 18.835 carteras de criptomonedas después de que hackers cuestionaran su autenticidad.

Incluso una verificación exitosa no siempre demuestra que la cartera Keystone sea auténtica. El fabricante, el 26 de octubre, informó que durante el hackeo del sitio un atacante robó la clave WebAuth de fábrica, que se utiliza para confirmar el origen de los dispositivos. La compañía decidió destruir 18 835 carteras aún no vendidas para no enviar a los clientes dispositivos con una verificación poco fiable.

La clave WebAuth se graba en la cartera durante la fabricación, por lo que no es posible eliminarla o reemplazarla en un dispositivo terminado. Habiendo obtenido la clave, el atacante podría teóricamente fabricar una falsificación que pase la verificación oficial de Keystone. No hay informes sobre la aparición de tales dispositivos hasta ahora. Los casos recientes de suplantación de carteras Trezor ya mostraron el peligro de las modificaciones de hardware.

Keystone precisó que la clave robada no participa en la creación de las frases semilla, la obtención de claves privadas ni la firma de transacciones. Por lo tanto, la filtración de WebAuth por sí sola no da al delincuente acceso a las criptomonedas de los propietarios actuales. La amenaza está relacionada con la posible venta de dispositivos falsos, que pueden parecer auténticos y utilizarse para el posterior robo de fondos.

Keystone dejó de fabricar dispositivos con la clave antigua y trasladó la producción a la nueva. Las 18 835 carteras en el almacén deben ser destruidas, y el envío de pedidos aún no cumplidos a través del sitio oficial fue suspendido. Hasta la llegada del nuevo lote, la compañía acepta pedidos anticipados. Aún no se ha anunciado la fecha de reanudación de los envíos habituales.

El acceso no autorizado al sitio se detectó el 20 de octubre, y el 23 de octubre se confirmó la filtración tras revisar las operaciones en Shopify. La investigación mostró que el atacante aprovechó una vulnerabilidad de una herramienta externa de supervisión de datos y elevó privilegios. Los permisos obtenidos permitieron robar no solo la clave WebAuth, sino también información sobre los compradores.

En Shopify se guardaban 51 083 registros de compras. Al momento del ataque se habían eliminado los datos personales de 25 119 registros, pero otros 25 964 pedidos de 2024–2026 contenían nombres, contactos, direcciones de envío y datos sobre los productos. Además, quedaron en riesgo 12 873 registros de compras incompletas con datos de contacto. El número de registros no equivale al número de personas afectadas.

Keystone prometió eliminar los datos de envío pasados 180 días, pero la herramienta de eliminación masiva funcionaba con interrupciones. Parte de las solicitudes falló y el personal no detectó las fallas, por lo que los registros antiguos se conservaron. La compañía redujo el tiempo de retención de los datos a 90 días. Según Keystone, los datos de pago, las frases semilla, las claves privadas y las contraseñas de las carteras no se vieron afectadas.

Keystone considera seguros los dispositivos recibidos antes del 20 de octubre si la verificación de autenticidad se realiza con éxito. A los propietarios de carteras con la clave antigua, entregadas más tarde, el fabricante les recomienda contactar con el soporte incluso si la verificación fue positiva. No es necesario devolver los dispositivos. La compañía advierte sobre ofertas fraudulentas de sustitución que recuerdan a las campañas de phishing dirigidas a clientes de Trezor.