Keystone confirma una filtración de datos de clientes: ya son seis los fabricantes de hardware wallets con incidentes en 2026
El fabricante de carteras físicas Keystone ha confirmado que un tercero accedió sin autorización a su tienda online y obtuvo datos de sus clientes: nombres, datos de contacto, direcciones de envío y detalles de los pedidos, incluidos los productos comprados y su precio. Es el sexto fabricante de hardware wallets que sufre un incidente de seguridad en lo que va de 2026, según el recuento de CriptoNoticias. Las claves privadas no se han visto comprometidas, pero el caso vuelve a poner sobre la mesa un riesgo que se suele subestimar: los datos de quien compra una cartera física son, en sí mismos, una lista de objetivos.
Qué ha pasado
Según la cronología facilitada por la propia empresa y recogida por The Block y CriptoNoticias, Keystone detectó el acceso no autorizado a su web el 20 de octubre y confirmó la sustracción de información el 23 de octubre, tras revisar la actividad de una API vinculada a Shopify, la plataforma de comercio electrónico sobre la que funciona su tienda. El anuncio público llegó el 24 de octubre.
La compañía asegura que no se expusieron datos de tarjetas ni bancarios, frases de recuperación, claves privadas ni contraseñas de las carteras. Afirma haber bloqueado el acceso, corregido la vulnerabilidad, abierto una investigación y comenzado a avisar por correo electrónico a los clientes afectados. Lo que no ha dicho es cuántos clientes se han visto afectados, cómo entró el atacante ni si ha sido identificado. Ha prometido un informe detallado en los próximos días.
La promesa de borrar los datos a los 180 días
El incidente tiene un ángulo incómodo para la empresa. Keystone lleva meses presumiendo de que borra los datos de envío pasado un plazo. Su página de compromisos de privacidad afirma que toda la información de envío se elimina automáticamente 180 días después del pedido, y la empresa repitió ese mensaje en X el 5 de enero, el mismo día en que los clientes de Ledger recibían el aviso de una filtración en su socio de comercio electrónico Global-e.
Sin embargo, varios usuarios han asegurado en redes sociales que recibieron la notificación de la brecha pese a haber comprado hace más tiempo: uno afirma que hizo su pedido hace más de dos años y otro, que habían pasado 214 días desde su última compra. The Block señala que no ha podido verificar esos testimonios y que Keystone no ha aclarado públicamente si aplicaba la política de 180 días. El medio también apunta que la política de privacidad de la empresa, actualizada por última vez en mayo de 2021, utiliza una redacción distinta.
Seis marcas en diez meses
Keystone se suma a una lista que se ha alargado de forma preocupante este año. Según la recopilación de CriptoNoticias y The Block:
- Ledger: filtración en su proveedor Global-e en enero y, en octubre, la confirmación de dispositivos con un implante capaz de capturar las palabras de recuperación, vendidos por un revendedor.
- COLDCARD: divulgación en julio de una vulnerabilidad en la generación de semillas.
- Trezor: brecha en su proveedor logístico ShipMonk que acabó afectando a unos 80.689 clientes, y un acceso no autorizado a su cuenta en la plataforma de correo Brevo.
- SafePal: un fallo en su sistema de seguimiento de pedidos expuso datos de cerca de 40.000 clientes.
- BitBox: robo de direcciones de correo de suscriptores, utilizadas después para campañas de phishing.
La mayoría de estos casos no afectan a los dispositivos ni a los fondos de forma directa, sino a la cadena que los rodea: tiendas online, empresas de envío y herramientas de email marketing. Pero el patrón se repite: tras cada filtración llegan mensajes falsos que suplantan al fabricante.
Qué implica para un inversor español
Quien haya comprado una cartera Keystone debe asumir que su nombre, su dirección y el hecho de que posee criptoactivos pueden estar en manos de terceros. A partir de ahí, conviene tener presentes varias pautas:
- Ningún fabricante pide la frase de recuperación. Keystone lo ha recordado expresamente. Cualquier correo, SMS, llamada o formulario que la solicite es un intento de robo.
- Desconfíe de los «reemplazos» y «reembolsos». CriptoNoticias advierte de que los atacantes pueden hacerse pasar por Keystone para ofrecer devoluciones, dispositivos de reemplazo o ayuda con supuestos problemas de envío. Keystone advierte que nunca se introduzca una frase de recuperación en un dispositivo que no se haya pedido.
- Llamadas que suplantan a la policía. Un usuario afirmó haber recibido una llamada desde un número que imitaba al de la policía de Montreal y que citaba detalles de su pedido. En España ya hemos visto estafas en las que se suplanta a la Policía Nacional, a la Guardia Civil o a supuestos departamentos antifraude.
- Acceda siempre tecleando la dirección del fabricante en el navegador, nunca desde un enlace recibido.
Para clientes residentes en la UE, la normativa de protección de datos permite solicitar al responsable información sobre qué datos conserva y pedir su supresión. Y si alguien llega a sufrir una estafa derivada de esta filtración, conviene documentar todas las comunicaciones y presentar la denuncia cuanto antes; explicamos cómo hacerlo en nuestra guía para denunciar una estafa con criptomonedas en España.
Valoración
La seguridad de una cartera física no termina en el dispositivo. Seis incidentes en diez meses muestran que el eslabón débil suele ser la logística y la tienda online, y que la información filtrada se convierte rápidamente en materia prima para fraudes dirigidos. Habrá que esperar al informe de Keystone para conocer el alcance real de la brecha y si su política de borrado se estaba cumpliendo.
Fuentes
- The Block — Keystone customers say breach exposed data the hardware wallet maker promised to delete
- CriptoNoticias — Otro proveedor de hardware wallets sufre filtración de datos de sus clientes: Keystone
- CriptoNoticias — Con Keystone ya son 6 marcas de hardware wallets con incidentes de seguridad en 2026
- Keystone — Privacy Promises