Keystone confirma una filtración: «Os debemos una disculpa»

El fabricante de carteras hardware Keystone hizo público el sábado un allanamiento de su propia tienda en línea. Se han filtrado nombres, datos de contacto, direcciones de entrega y detalles de pedido de clientes. Las frases de recuperación, las claves privadas y los datos de pago no están afectados según la empresa. Para ti como comprador eso significa que tu saldo no corre peligro por este incidente, pero tu dirección y el hecho de que tengas una cartera hardware sí lo corren.

Es una distinción importante, y decide qué resulta sensato ahora y qué te meterá en más problemas. La reacción más peligrosa ante un aviso así es la precipitada: quien restablece su equipo preso del pánico, mueve sus monedas a cualquier parte o responde a una supuesta campaña de recambio no pierde su dinero al final por el ataque original. Lo pierde por la oleada de fraude que viene después.

Lo que Keystone ha revelado: acceso el 20 de octubre, confirmación el 23

Keystone advirtió el acceso no autorizado a la web de la empresa el 20 de octubre de 2026, según su propia exposición. Tras examinar la actividad de la interfaz en Shopify, el proveedor de tienda del fabricante, la empresa confirmó el 23 de octubre que un tercero había obtenido datos de envío de clientes. Keystone hizo público el incidente el 24 de octubre a través de su canal en X.

La publicación arranca con una frase que las empresas rara vez formulan de forma tan directa tras una fuga de datos: «We owe you an apology», es decir: os debemos una disculpa. Keystone escribe después que ha bloqueado el acceso, cerrado la vulnerabilidad aprovechada, abierto una investigación y empezado a avisar por correo electrónico a los clientes afectados. Ha anunciado un informe detallado.

Varios datos centrales faltan por ahora. Keystone no indica ni el número de clientes afectados, ni el periodo del que proceden los pedidos sustraídos, ni la vía por la que entró el atacante. Tampoco hay desglose por países y, por tanto, ninguna respuesta a cuántos compradores europeos figuran en el conjunto de datos. Quien quiera saber si está incluido depende por ahora del aviso de la empresa. El comunicado del fabricante es la única fuente primaria que existe al respecto.

Estos datos se han filtrado, y estos no según la empresa

Según la exposición de Keystone, el conjunto de datos abarca nombres, datos de contacto, direcciones de entrega y los detalles de pedido, es decir, los artículos comprados y los precios pagados. Esto último no es un aspecto menor: del modelo pedido se deduce qué equipo usa alguien, y del precio, cuánto ha invertido.

Expresamente no afectados, según el fabricante, están los datos de tarjeta y de banco, las frases de recuperación, las claves privadas y las contraseñas de los equipos. Esa indicación procede de la propia empresa y no está verificada de forma independiente por ahora; Keystone no ha presentado un peritaje forense de un tercero.

La afirmación resulta pese a todo plausible desde el punto de vista técnico, y por una razón sencilla.

La frase de recuperación sigue estando solo en el equipo

Una cartera hardware es un equipo que genera y guarda tus claves privadas sin entregarlas nunca a un ordenador ni a la red. Una transferencia se firma en el propio equipo, y hacia fuera solo sale la firma terminada. El fabricante no averigua nada de tus claves porque nunca las recibe. Cómo funciona esto en detalle está en nuestra explicación sobre qué hace realmente una cartera hardware.

Qué sabe del equipo una tienda en línea

La tienda en línea de un fabricante está completamente separada de esa mecánica. Procesa pedidos, es decir, dirección, artículo, precio y estado del envío. Entre el sistema de tienda y el chip del equipo no existe conexión alguna por la que un atacante pudiera llegar a las claves desde una base de clientes. De ahí el principio que debería regir toda reacción a este incidente: una fuga de datos en el vendedor es un incidente de protección de datos, no un incidente de cartera. No tienes que restablecer tu equipo, ni crear una cartera nueva, ni mover saldo alguno.

La interfaz de Shopify: qué dice la indicación y qué no

Keystone menciona en su comunicado el examen de la actividad de la interfaz en Shopify como la vía por la que se determinó el alcance de la fuga. Esa indicación se malinterpreta con facilidad. Dice que los registros de la plataforma de tienda mostraron qué datos se consultaron. No dice que la plataforma Shopify misma fuera comprometida, y Keystone tampoco lo sostiene.

Una interfaz por la que un sistema de tienda entrega datos de pedido es una herramienta normal para el operador. Se protege con claves de acceso y a menudo se abre también a programas complementarios que se encargan del envío, el marketing o la contabilidad. Donde una de esas claves cae en malas manos, o un programa complementario conectado resulta atacado, el fichero puede drenarse sin que nadie tenga que allanar la tienda. Cuál de esas vías se tomó aquí, Keystone no lo ha comunicado hasta ahora.

Los cuatro engaños contra los que Keystone advierte por sí mismo

El fabricante enuncia con bastante precisión con qué deben contar ahora los afectados. Delincuentes se presentan como Keystone, por correo electrónico, teléfono, mensaje corto o vía postal. Lo que ofrecen son reembolsos, equipos de recambio gratuitos y ayuda con un pedido o una dirección de entrega supuestamente erróneos. La empresa aclara al respecto que nunca pide una frase de recuperación ni una clave privada.

El más peligroso de esos engaños es el equipo de recambio. Funciona porque tiene el aspecto de un gesto comercial: llega un paquete, dentro un equipo y una nota según la cual el modelo antiguo está afectado por el incidente y el nuevo ya viene configurado. Quien usa la frase de recuperación adjunta, o introduce la propia en un equipo ajeno, entrega el control de su saldo. Precisamente por eso la regla no admite excepción: una frase de recuperación nunca se introduce en un equipo que no hayas pedido tú mismo, y nunca en una web ni en un formulario. Las señales de alarma habituales de esos mensajes las reunimos tras casos anteriores, en el panorama sobre phishing tras una filtración de datos.

Que la vía postal figure en esa enumeración marca la diferencia respecto de una filtración corriente de correos electrónicos. Una carta con la dirección correcta, la fecha de pedido exacta y el nombre de modelo que encaja parece auténtica porque lo aparenta. Los datos que la hacen creíble proceden del conjunto filtrado.

La dirección de entrega es el daño verdadero

Una dirección de correo electrónico se cambia. Un domicilio no, al menos no sin mudarse. Por eso los especialistas en seguridad se expresan con más claridad ante filtraciones en la venta a distancia de equipos cripto que ante otras fugas de datos.

La desarrolladora de seguridad Taylor Monahan, conocida en el sector como Tay, ha señalado, según informaciones de crypto.news, que esos datos de envío pueden exponer a los compradores a amenazas físicas, hasta el robo y el secuestro. En el sector se habla de wrench attack: un ataque que no se dirige contra el cifrado, sino contra la persona que conoce la clave. No hay por ahora pruebas de que los datos sustraídos en Keystone hayan llevado ya a agresiones físicas.

La valoración sobria: el conjunto de datos contiene una información que una lista de direcciones de cualquier tienda en línea no contiene. Vincula un domicilio con la afirmación de que allí vive alguien que custodia criptoactivos por sí mismo y ha gastado dinero en ello. Quien hasta ahora hacía entregar sus equipos en su propio domicilio tiene, tras este incidente, un motivo para hacerlo de otro modo en el futuro, por ejemplo mediante un punto de recogida o una dirección de entrega que no sea la vivienda. Para elegir un equipo eso se convierte en un criterio junto a los técnicos: en nuestra comparativa de carteras hardware consta qué fabricantes envían por qué vías.

La promesa de los 180 días y la política de privacidad del 7 de julio

La magnitud del daño depende de cuánto tiempo conserva Keystone los datos de pedido. Hay al respecto dos declaraciones públicas de la empresa, y no coinciden.

El portal especializado alemán block-builders.de ha señalado que Keystone afirmó en X, el 5 de enero de 2026, que los datos de envío se borran de forma definitiva 180 días después del pedido. En la política de privacidad de la empresa consta algo más estrecho. Allí se dice que se borra la información de pedido de todo cliente que no haya cursado un pedido en los últimos 180 días. Según ese texto, el plazo corre desde el último pedido de cada cliente, no desde cada uno de ellos. A quien compró dos veces le queda así guardado el pedido más antiguo. Este análisis lo realizó cryptoticker.io el 25 de octubre de 2026, sobre la base de la política de privacidad fechada el 7 de julio de 2026 en la web de la empresa.

Que el conjunto de datos contenga realmente solo pedidos de los últimos 180 días queda por tanto abierto. Preguntada en redes sociales, Keystone no se ha comprometido al respecto y ha remitido a la investigación en curso y al informe anunciado. Una valoración sobre si se cumplió el compromiso de enero no puede sostenerse a día de hoy, y aquí expresamente no se hace.

Yanssie HK Limited en Hong Kong: quién está detrás de la marca

Para los compradores europeos hay un dato de esa misma política de privacidad que importa en la práctica más que el plazo de borrado. Como empresa responsable designa a Yanssie HK Limited, con sede en Hong Kong, y se somete al derecho de la región administrativa especial de Hong Kong.

El Reglamento General de Protección de Datos se aplica al margen de ello cuando un proveedor de fuera de la UE vende deliberadamente bienes a personas en la Unión. El artículo 27 exige además a esos proveedores designar un representante en la Unión al que puedan dirigirse los interesados y las autoridades de control. La política de privacidad de Keystone no nombra a ningún representante de ese tipo. Como vía para el acceso, la rectificación y la supresión indica la dirección de soporte de la empresa y la advertencia de que cabe acudir a la autoridad de protección de datos del propio país.

En la práctica eso significa: tus derechos existen, pero el camino hasta ellos es más largo que con un proveedor con establecimiento en la UE. Quien quiera evitarlo no esquiva la pregunta de fondo de cuánto custodia por sí mismo y cuánto deja en un proveedor supervisado. Qué casas están bajo supervisión lo muestra el panorama de exchanges cripto regulados.

Acceso según el artículo 15, indemnización según el artículo 82

Dos derechos resultan relevantes para los afectados en Europa. El artículo 15 del Reglamento General de Protección de Datos te da derecho a saber qué datos ha guardado una empresa sobre ti. En este incidente es la única vía fiable para aclarar la pregunta que Keystone ha dejado abierta: de qué periodo subsisten tus pedidos y qué de ello figuraba en el conjunto filtrado. La solicitud se dirige a la dirección de soporte de la empresa, no exige forma alguna y es gratuita.

El artículo 82 regula la indemnización. El Tribunal Supremo Federal alemán resolvió al respecto el 18 de noviembre de 2024, en el procedimiento sobre la fuga de datos de la red social Facebook, con número de expediente VI ZR 10/24, que la mera pérdida de control sobre los propios datos puede fundamentar un daño inmaterial. Según los fundamentos, no hace falta que se haya producido un uso abusivo de los datos ni que se añadan otras consecuencias negativas perceptibles. En ese procedimiento se trataba de un fichero con 533 millones de registros en todo el mundo, entre ellos unos seis millones de personas en Alemania.

Sobre la cuantía la sentencia dice poco generalizable. Cuentan según la jurisprudencia, entre otras cosas, la sensibilidad de los datos afectados, la naturaleza y la duración de la pérdida de control y la posibilidad de recuperar ese control. No hay importes sólidos para un caso como este, y quien te adelanta una suma antes de que estén establecidos el alcance y el periodo de la fuga cuenta con una cifra que todavía nadie conoce. Que el derecho existe en principio ya no es, tras la decisión del Tribunal Supremo Federal, la cuestión discutida que era antes de 2024.

Trezor, SafePal, Ledger: la vía de envío es el eslabón más débil

El caso se suma a una serie que en 2026 se ha vuelto llamativamente densa, y el patrón es cada vez el mismo: cada vez aguanta la criptografía de los equipos, y cada vez cede la cadena formada por el sistema de tienda, el operador logístico y los programas complementarios conectados.

Trezor comunicó en agosto una fuga a través del operador logístico ShipMonk, al principio con 13.689 clientes afectados; a comienzos de septiembre se sumaron, según la empresa, unos 67.000 clientes más de Estados Unidos, con pedidos de los años 2019 a 2021. Lo que los afectados podían hacer allí lo recogimos en el artículo sobre la filtración de datos de Trezor. SafePal cifró el mismo mes en 39.798 los clientes afectados, con datos filtrados a través de un programa complementario de seguimiento de envíos. El caso más antiguo y conocido sigue siendo Ledger: tras el incidente de 2020 se hicieron públicos unos 272.853 registros con direcciones, además de cerca de un millón de direcciones de correo electrónico.

La comunicación complementaria de Trezor en septiembre muestra justamente el problema que ahora se plantea también en Keystone: allí figuraban pedidos de 2019 a 2021 en un fichero, aunque el operador había confirmado antes por escrito el borrado de los datos antiguos. Un plazo de borrado prometido vale solo lo que vale su ejecución en cada operador que haya visto los datos alguna vez.

Para la ponderación entre autocustodia y custodia por un tercero eso cambia poco. La soberanía sobre las claves sigue siendo el argumento más fuerte a favor de un equipo propio, y ninguno de esos incidentes ha conducido nunca a una pérdida de saldo por el equipo mismo. Lo que cambia es la constatación de que la compra de un equipo de seguridad deja ella misma un rastro de datos que hay que tener en cuenta.

Filtración de Keystone: la semilla está a salvo, la dirección de entrega no

Para los propietarios de un equipo Keystone se deriva de ello un orden de actuación acotado.

1. No cambies nada en el equipo. Ningún restablecimiento, ninguna frase de recuperación nueva, ningún traslado del saldo. El incidente afecta al sistema de tienda, no a las claves. Si de todos modos estabas pensando en cambiar de equipo, la comparativa de carteras hardware es el lugar adecuado para ello, no un correo que te ofrece un equipo de recambio.
2. Trata todo contacto como falso hasta que conste lo contrario. No pulses ningún enlace de los mensajes, no uses números de devolución de llamada de los correos, no introduzcas ninguna frase de recuperación. Accede al fabricante por la dirección de su web tecleada por ti. Si por principio quieres custodiar menos por tu cuenta, revisa en su lugar los proveedores supervisados del panorama de exchanges cripto regulados.
3. Solicita el acceso del artículo 15 y espera el informe. Un correo sin formalidades al soporte aclara qué datos de pedido siguen guardados. Espera el informe detallado anunciado por la empresa antes de plantearte pasos más amplios. Si en paralelo valoras no poner importes pequeños en un equipo, las alternativas están en la comparativa de carteras de software.

La única cifra que todavía falta en este incidente es la de los afectados. Hasta que Keystone la dé, cada comprador debe dar por hecho que está entre ellos.

(25 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)