Keystone confirma una filtración de datos de clientes, incluso de pedidos de hace años: qué hacer

Keystone, fabricante de billeteras físicas (hardware wallets) con sede en Hong Kong, informó el 24 de octubre de 2026 que un tercero obtuvo datos de envío de sus clientes: nombres, datos de contacto, direcciones y detalles de pedidos. Según la empresa, detectó el acceso no autorizado a su web oficial el 20 de octubre y lo confirmó el 23, tras revisar con Shopify la actividad de la API de su tienda, de acuerdo con Crypto Briefing y crypto.news.

“Les debemos una disculpa”, escribió la empresa en su publicación en X. Keystone dijo que bloqueó el acceso, corrigió la vulnerabilidad, abrió una investigación y empezó a avisar por correo a los clientes afectados. También anunció un informe detallado “en los próximos días”.

Qué se filtró y qué no

Según el comunicado, recogido por varios medios:

• Expuesto: nombres, datos de contacto, direcciones de envío y detalles de los pedidos, como productos comprados y precios pagados.
• No expuesto: datos de tarjetas o bancarios, frases de recuperación, claves privadas y contraseñas de billeteras.

Keystone no ha dicho cuántos clientes resultaron afectados ni cómo entró el atacante. Que la empresa revisara la API con Shopify, su proveedor de comercio electrónico, no significa que la plataforma de Shopify haya sido vulnerada, advierten Crypto Adventure y crypto.news. Ninguno de los medios consultados reporta robo de criptomonedas por esta filtración.

Avisos a clientes de hace años, pese a la regla de los 180 días

El domingo 25 de octubre, The Block informó que varios clientes recibieron el aviso de la filtración por pedidos de hace más de 180 días, uno de ellos de hace más de dos años. Keystone había prometido en X y en su página “Privacy Promise” que los datos de envío se borran de forma automática 180 días después del pedido.

Su política de privacidad, actualizada en mayo de 2021, usa otra regla: habla de clientes sin pedidos en los últimos 180 días. Y su centro de ayuda dice que la ciudad y el país no se borran y que el borrado final lo hace Shopify, según The Block. Un usuario contó que recibió una llamada que suplantaba a la policía de Montreal con datos de un pedido de 2024; The Block aclaró que no pudo verificar esos testimonios. Keystone no ha explicado si cumplió su regla de los 180 días.

Por eso, aunque hayas comprado tu Keystone hace años, conviene que supongas que tus datos de envío pueden estar en manos de estafadores.

Los riesgos reales

Con un nombre y una dirección, un estafador sabe que tienes una billetera física y dónde vives. La propia Keystone alertó sobre suplantaciones por correo, teléfono, SMS o correo postal, con estos ganchos:

• Reembolsos o compensaciones falsas.
• “Reemplazos” de dispositivos enviados sin que los pidas.
• Pedidos para “corregir” tu dirección de entrega o “verificar” tu pedido.

La investigadora de seguridad Taylor Monahan, conocida como Tay, advirtió que filtrar datos de envío de compradores de billeteras físicas podría exponerlos a amenazas físicas, como robos y secuestros, según crypto.news. Se refería a los llamados “ataques con llave inglesa”, en los que se usan amenazas o violencia para obligar a alguien a entregar sus criptomonedas. Por ahora no hay casos confirmados vinculados a esta filtración.

El precedente de Ledger

En julio de 2020, un atacante accedió a la base de datos de comercio electrónico y marketing de Ledger mediante la clave de API de un tercero y se llevó más de un millón de correos y unos 9.500 registros con nombres, direcciones y teléfonos, según el blog de Ledger. El 20 de diciembre de 2020 la base se publicó en un foro con unos 272.000 registros detallados, y los clientes sufrieron campañas de phishing durante años, aunque Ledger afirmó que sus dispositivos no fueron comprometidos.

Compré una Keystone: qué hacer

• Nunca des tu frase de recuperación. Ni por correo, ni por teléfono, ni en un formulario web. Keystone dice que nunca la pide.
• No la escribas en un dispositivo que no pediste. Si te llega una Keystone “de reemplazo” sin haberla solicitado, no la uses.
• Desconfía de “actualizaciones” o “verificaciones” por correo. No abras enlaces de mensajes inesperados: escribe keyst.one a mano en el navegador y escribe a support@keyst.one si tienes dudas, como recomienda la empresa según Safeguard.
• Compra solo en canales oficiales y revisa el empaque y el dispositivo al recibirlo. Un aparato manipulado puede robar la frase, como en el caso del Ledger con chip espía.
• Si ya diste tu frase, considera comprometida esa billetera y mueve lo que quede a una nueva con otra frase, aconseja Crypto Adventure.
• Cuidado con quien prometa recuperar fondos: suele ser una segunda estafa, como explica la guía sobre las “recovery rooms”.
• Cuida tu información en redes: no publiques que tienes criptomonedas ni fotos de tu billetera física.

Fuentes consultadas el 25 y el 26 de octubre de 2026: The Block, Cryptowisser, Crypto Briefing, crypto.news, Crypto Adventure, Safeguard, Bitcoin.com News, KuCoin News y el blog de Ledger. Este contenido es informativo y no es una recomendación de inversión.