Keystone destruye 18.835 carteras hardware y detiene los envíos

El fabricante de carteras hardware Keystone destruye 18.835 dispositivos terminados de su propio almacén y ha detenido los envíos. Detrás hay una clave criptográfica. En la intrusión en la web de la empresa el 20 de octubre de 2026 se filtró la llamada clave WebAuth, con la que los propietarios de un Keystone comprueban en línea si su dispositivo es auténtico. Esa clave se escribe de forma permanente en el chip durante la fabricación y después ya no se puede sustituir. Al fabricante solo le queda, por tanto, destruir el lote afectado.

Para los propietarios la situación es más acotada de lo que sugiere la cifra. La frase de recuperación no está afectada, según la empresa, y quien recibió su dispositivo antes del 20 de octubre no tiene que devolver nada ni mover saldos. Lo decisivo es la fecha de entrega. Este texto ordena qué se filtró, qué permite técnicamente la clave, qué dispositivos están afectados y cómo reconocer la oleada de estafas que sigue habitualmente a este tipo de avisos.

La intrusión del 20 de octubre: un fallo en una herramienta externa de la web

El atacado fue la tienda en línea, no un dispositivo concreto. Según la empresa, un atacante entró el 20 de octubre de 2026 en la web oficial a través de una debilidad en una herramienta de supervisión de datos adquirida a terceros. Estos servicios se incrustan como código ajeno en la propia página y ven todo lo que allí ocurre. Precisamente esa arquitectura se ha convertido en las últimas semanas en el punto de entrada en varias ocasiones, también en competidores.

Se filtraron dos cosas muy distintas, según la empresa. Por un lado, datos de clientes: 25.964 registros de compra de los años 2024 a 2026 con nombres, datos de contacto, direcciones de entrega y detalles de pedido, además de 12.873 procesos de compra abandonados. Keystone ya había admitido esa parte el 25 de octubre, y la describimos en nuestra información sobre la filtración de datos confirmada. Por otro lado, y esta es la parte nueva de la historia, la clave WebAuth.

Quedan intactos, según el fabricante, las frases de recuperación, las claves privadas, el resto de credenciales de cartera, los datos de pago bancario y los números de documentos de identidad. Esa delimitación importa, porque marca la diferencia entre una filtración molesta y una pérdida de saldos.

La clave WebAuth viene de fábrica en el dispositivo y no se puede sustituir

En Keystone, clave WebAuth es el nombre del secreto con el que un dispositivo demuestra ante la página de verificación del fabricante que procede de la producción auténtica. El procedimiento es habitual en el sector y se explica en dos frases: el dispositivo recibe un secreto grabado en la fabricación, el fabricante conoce la contraparte de ese secreto y, en la comprobación, el dispositivo resuelve una tarea que solo se puede resolver con el secreto correcto. Si la supera, se considera auténtico.

El problema está en la palabra «grabado». El secreto se escribe una vez en el chip y después no se puede borrar ni sobrescribir. Una contraseña se cambia; una clave de esta forma, no. Los dispositivos ya fabricados con el secreto antiguo siguen siendo, por tanto, dispositivos con el secreto antiguo de forma permanente. Keystone ha cambiado por ello la producción en curso a una clave de sustitución. Para la mercancía ya fabricada y almacenada no existía esa vía.

18.835 dispositivos de almacén van a destrucción y los envíos quedan parados

La consecuencia es inusualmente nítida. Se destruyen 18.835 dispositivos no vendidos con la clave antigua: no se pondrán a la venta ni se entregarán. Los envíos a través de la web están parados y la venta continúa por reserva previa. Quien quisiera encargar una cartera hardware de este fabricante en los próximos días recibe, por tanto, una fecha de entrega en lugar de un paquete.

Esa decisión le cuesta al fabricante un lote completo y es, desde el punto de vista del lector, la mejor noticia, porque la alternativa habría sido entregar dispositivos con una prueba de autenticidad conocida. Quien tuviera de todos modos una compra pendiente encontrará los criterios en nuestra comparación de carteras hardware; desde los incidentes de este año, la vía de entrega es allí un criterio propio.

Verificación: una falsificación podría superar la consulta en línea

¿Por qué merece protección una clave de autenticidad? Porque la verificación es la última instancia antes de que alguien teclee su frase de recuperación en un dispositivo. Una cartera hardware manipulada apenas se reconoce por fuera y se delata sobre todo cuando falla la comprobación ante el fabricante. Quien posee la clave podría, según la empresa y los medios especializados que informan del caso, fabricar réplicas que superen esa comprobación.

Lo acreditado es una posibilidad, no un incidente. Hasta ahora no hay aviso de falsificaciones realmente aparecidas con la clave robada ni de saldos perdidos por ello. Esa es la razón por la que el fabricante dice expresamente que nadie tiene que mover saldos solo por este incidente. El riesgo está en la mercancía futura de origen poco claro, apenas en los dispositivos que ya están en manos de los clientes.

Lo real que es ese patrón lo mostró este año el caso Ledger: allí circularon dispositivos con un chip adicional a través de revendedores en el sudeste asiático, y el daño superó los 86 millones de dólares según estimaciones de analistas de las que informamos el 9 de octubre de 2026. La diferencia con el caso de hoy: en Ledger era atacable la vía de distribución; en Keystone, la prueba misma.

La frase de recuperación y las claves privadas quedan intactas, según la empresa

Una frase de recuperación, llamada normalmente frase semilla, es la lista de doce o veinticuatro palabras de la que se vuelven a derivar todas las claves de una cartera. Esa lista nace en el dispositivo y en el uso normal nunca sale de él. Justo por eso una intrusión en una tienda en línea no la afecta: allí hay pedidos, no claves.

Esa separación es el valor real de la autocustodia, y en este caso se sostiene. Quien guarda su frase de recuperación con cuidado no tiene nada que hacer tras este incidente. Si dudas de si tu propia forma de guardarla aguanta, los fallos habituales están en nuestra guía sobre cómo guardar la frase semilla de forma segura.

La fecha de entrega separa los dispositivos afectados de los no afectados

El fabricante traza la línea en el día de la intrusión. Los dispositivos entregados antes del 20 de octubre de 2026 siguen siendo seguros de usar, según la empresa, siempre que superen la verificación. Eso abarca a la gran mayoría de los dispositivos en circulación, porque la clave solo se conoció con la intrusión.

Distinto es el caso de los dispositivos enviados después del 20 de octubre con la clave antigua. Esos clientes deben, según el fabricante, dirigirse al soporte y hacer una comprobación adicional antes de usar el dispositivo. Un segundo vistazo a la confirmación de envío en tu bandeja de entrada aclara, por tanto, en cuál de los dos grupos estás.

Al margen de eso, el trato con un dispositivo nuevo sigue siendo el mismo: un dispositivo de segunda mano o de un vendedor desconocido nunca se configura con una frase de recuperación que venga adjunta, y un dispositivo que quiere confirmar un pago sin una indicación clara merece desconfianza.

Keystone no reclama ningún dispositivo y toda petición de devolución es una estafa

Aquí está el mayor riesgo cotidiano de este incidente, y no tiene nada que ver con la técnica. Un aviso sobre dispositivos destruidos es la plantilla perfecta para una estafa: una carta en nombre del fabricante, una supuesta llamada a revisión, un programa de cambio, una «migración de seguridad». A eso se suman las direcciones de entrega filtradas, porque con nombre y dirección un mensaje así suena creíble.

Keystone deja claras dos cosas al respecto. La empresa no pide a nadie que envíe un dispositivo, y quien lo solicite es, según el fabricante, un estafador. En su comunicado del 26 de octubre de 2026 titulado «Statement Regarding the Security Incident on Our Official Website and Customer Guidance», la empresa admite además, a través de su cuenta @KeystoneWallet, un fallo con los datos de clientes: no cumplió el compromiso de borrarlos a tiempo y asume la responsabilidad. Una herramienta de borrado automático había fallado sin que se notara; el plazo de conservación baja ahora de 180 a 90 días.

Recuerda la regla sencilla: nadie que quiera tu bien necesita tu dispositivo ni tus doce palabras. Cualquier mensaje que exija una de las dos cosas puedes borrarlo sin más comprobación.

25.964 registros de pedido y el domicilio como riesgo propio

La parte de datos del incidente dura más que la parte de la clave. Una dirección de entrega no se cambia como una contraseña, y la combinación de nombre, dirección y la información «tiene una cartera hardware» es valiosa para los delincuentes. Eso va desde correos de phishing dirigidos hasta el caso raro, pero documentado, de coacción física.

En la práctica: cuenta en los próximos meses con cartas y correos que escriban bien tu nombre. Esa corrección no demuestra nada; es consecuencia de la filtración. Quien vuelva a comprar debería elegir una vía de entrega que mantenga su domicilio fuera de la siguiente base de datos.

¿Vuelve a ser fiable la verificación tras el cambio de clave?

En parte, y esa respuesta honesta es más útil que una fórmula tranquilizadora. Para los dispositivos nuevos de la producción cambiada vuelve a valer lo de antes: una clave que solo conocen el fabricante y el dispositivo. En los dispositivos con la clave antigua que ya están en manos de clientes, la comprobación en línea puede seguir confirmando un dispositivo auténtico, pero ya no puede descartar con seguridad una réplica fabricada con la clave robada.

Esa debilidad solo se agota cuando el lote antiguo desaparece del mercado, y eso lleva años. Hasta entonces, la vía de compra pesa más que la marca de verificación: un dispositivo directamente del fabricante o de un distribuidor autorizado, precintado, sin palabras adjuntas.

Cuatro incidentes en carteras hardware este año, cuatro debilidades distintas

El caso Keystone no está solo, pero tampoco repite ninguno de los anteriores. Si se ponen los incidentes de este año uno al lado del otro, cada uno golpeó un punto distinto entre la fabricación y el usuario, y ahí está la verdadera lección:

• Ledger, octubre de 2026: dispositivos manipulados con un chip adicional a través de revendedores en el sudeste asiático. Debilidad: la vía de distribución.
• Coldcard, 2026: un error en la generación de la frase de recuperación que permitía reconstruir claves privadas. Debilidad: la generación de aleatoriedad en el dispositivo.
• Foundation, 25 de octubre de 2026: un incidente propio en el que se enviaron correos de phishing desde los dominios oficiales del fabricante; más de 23.000 intentos según la empresa, además de unas 5.600 direcciones postales y 5.200 números de teléfono de copias antiguas de la base de datos. No hubo indicios de dispositivos comprometidos ni de claves privadas. Debilidad: los canales de comunicación.
• Keystone, del 20 al 26 de octubre de 2026: la propia prueba de autenticidad. Debilidad: un secreto no sustituible dentro de una web atacable.

Dos fabricantes en dos días y, en ambos casos, falló un borrado automático de datos antiguos de clientes. Eso une los casos con más fuerza que la técnica: la debilidad no era el dispositivo, sino la empresa que lo rodea. La cartera hardware en sí ha cumplido lo que promete en los cuatro casos, porque las claves privadas se quedaron en el dispositivo. Quien saque una conclusión de ahí la saca en el rastro de datos de la compra y en la vía de entrega, no en la elección del chip.

Dispositivos Keystone: decide la fecha de entrega del 20 de octubre

1. Busca la confirmación de envío. Si la entrega es anterior al 20 de octubre de 2026, no hay nada que hacer según la empresa, mientras la verificación del fabricante confirme el dispositivo. Entregado después: contacta con el soporte y pide una comprobación adicional. Si hay una compra pendiente de todos modos, compara antes las vías de entrega en la comparación de carteras hardware.
2. Ignora cualquier mensaje de revisión. Keystone no reclama dispositivos. Quien te pida enviarlo, sumarte a un «programa de cambio» o introducir tus palabras te está estafando, también con el nombre y la dirección correctos. Si quieres cubrir el hueco sin dispositivo propio, las opciones están en la comparación de wallets software.
3. Mueve los saldos solo ante una sospecha real. Un traslado de saldos no es necesario solo por este incidente. Lo es si tu dispositivo no supera la verificación o procede de una fuente poco clara: entonces dispositivo nuevo, frase de recuperación nueva y saldos trasladados. Si entretanto prefieres no custodiar tú mismo las monedas, los puntos autorizados están entre los exchanges cripto regulados.

La cifra de 18.835 describe un lote en el almacén, no los dispositivos en los cajones de la clientela. Esa distinción la ha trazado el propio fabricante y es el núcleo de la noticia. Más detalles ofrece la cobertura de The Hacker News.

(28 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)