Keystone destruirá 18.835 dispositivos con una clave de seguridad comprometida
La clave se graba en las carteras durante la fabricación y no puede borrarse ni sobrescribirse. Keystone asegura que no se usa para generar frases semilla, crear claves privadas ni firmar transacciones. Un atacante que obtenga la clave podría fabricar dispositivos falsos capaces de superar los controles de autenticidad de Keystone. Si esos equipos falsos llegan a clientes que los confunden con productos originales de Keystone, esos clientes perderán sus activos cripto.
Keystone dejará de utilizar por completo la clave antigua. Todos los dispositivos nuevos se lanzarán con una nueva clave de autenticación. La empresa prometió destruir 18.835 carteras de hardware en inventario que contienen la clave comprometida y no venderlas. Ha suspendido el envío de todos los dispositivos no abonados pedidos a través de su sitio web oficial y ha trasladado las ventas al modo de preventa hasta que se restablezca la producción de equipos con la nueva clave.
El 20 de octubre, los sistemas de monitorización de Keystone detectaron actividad sospechosa en su sitio web. Un actor desconocido explotó una vulnerabilidad en la herramienta de monitorización de datos. El incidente comprometió los datos personales de 25.964 clientes que realizaron pedidos en la plataforma Shopify entre 2024 y 2026. Se expusieron nombres, datos de contacto, direcciones de entrega e información de pedidos. El atacante no accedió a frases semilla, claves privadas ni información de pago.
La política interna de Keystone exige eliminar los datos de clientes a los 180 días. Representantes de la compañía afirman que falló una herramienta automatizada de borrado masivo y reconocen que los datos comprometidos no se eliminaron a tiempo. El hacker accedió a 12.873 registros de pedidos incompletos, que también contenían nombres, datos de contacto y direcciones de entrega.
El fabricante considera utilizables los dispositivos entregados antes del 20 de octubre, siempre que superen la verificación de autenticidad. A los clientes que recibieron una cartera con la clave antigua después de esa fecha se les recomienda contactar con soporte para una verificación adicional. Aunque un dispositivo supere la autenticación, no puede descartarse que sea una falsificación.
La empresa anunció que no pedirá a los propietarios de carteras que devuelvan sus dispositivos. Cualquiera que solicite enviar una cartera para sustituirla será considerado estafador. Antes, otro gran fabricante de carteras de hardware, Ledger, reconoció que un grupo de hackers compró dispositivos de forma específica. Los atacantes abrieron las carteras e instalaron módulos ocultos para interceptar frases semilla. Carteras con módulos espía aparecieron incluso en el mercado ruso Ozon.
