Keystone reconoce una brecha en su tienda online que expuso datos de envío de compradores de su hardware wallet

Keystone, fabricante de hardware wallets, ha reconocido que un tercero accedió sin autorización a su tienda online y obtuvo datos de envío de sus clientes. La empresa lo detectó el 20 de octubre de 2026, confirmó el robo de datos el 23 y lo anunció el sábado 24. Asegura que no se han visto afectadas las claves privadas ni las frases de recuperación, pero avisa de que los datos filtrados pueden usarse para estafas dirigidas.

Qué ha pasado

Según The Block, Keystone detectó accesos no autorizados a su web el 20 de octubre. El 23, tras revisar la actividad de la API con Shopify, la plataforma en la que funciona su tienda, confirmó que los datos habían sido extraídos. El aviso público llegó en una publicación en X el sábado 24 de octubre. Esa publicación es la fuente primaria, pero no hemos podido leerla directamente: lo que sigue se apoya en cómo la recogen The Block y Cointelegraph.

Los datos expuestos, de acuerdo con la empresa, son nombres, datos de contacto, direcciones de envío y detalles de los pedidos, como los artículos comprados y sus precios. Keystone sostiene que no se han expuesto datos de tarjetas ni bancarios, frases de recuperación, claves privadas ni contraseñas de wallets. La compañía indica que ha bloqueado el acceso, corregido la vulnerabilidad, abierto una investigación y escrito por correo a los afectados. Todavía no ha dicho cuántos clientes son, ni cómo entró el atacante, y promete un informe detallado en los próximos días.

Hay además una polémica sobre la conservación de datos. Keystone ha afirmado en distintas ocasiones, y en su página de privacidad, que borra los datos de envío 180 días después del pedido. The Block señala que el texto de su política de privacidad, actualizado por última vez en 2021, describe una regla distinta: borra la información de quienes no han comprado en los últimos 180 días. Varios usuarios han contado en redes que recibieron el aviso de la brecha pese a haber comprado hace más de dos años; The Block no ha podido verificar esas afirmaciones y Keystone no había aclarado el asunto al publicarse la noticia.

Keystone advierte de que los estafadores pueden hacerse pasar por la empresa por teléfono, SMS, correo o carta para ofrecer reembolsos, dispositivos de sustitución o «arreglos» de pedido o dirección. Según The Block, un usuario dijo haber recibido una llamada con un número falsificado de la policía de Montreal, de alguien que conocía datos de un pedido de 2024.

Cointelegraph recoge la advertencia de la investigadora de seguridad Taylor Monahan: una dirección postal filtrada junto con la compra de una hardware wallet puede facilitar ataques físicos. Cita datos de CertiK, que contabilizó 52 «ataques con llave inglesa» verificados en el primer semestre de 2026, frente a 39 en el mismo periodo de 2025.

No es un caso aislado. CriptoNoticias cuenta ya seis marcas de hardware wallets con incidentes en 2026, entre ellas Ledger, Trezor, SafePal, BitBox y Coldcard, aunque de naturaleza muy distinta: unos solo filtraron datos de clientes y otros afectaron a la generación de claves o a dispositivos manipulados.

Qué significa para ti si vives en España

Si compraste un dispositivo Keystone en su tienda, lo primero es comprobar si te ha llegado el correo de la empresa. Si te llega, conviene verificar que es auténtico entrando tú mismo en la web oficial, sin pulsar los enlaces del mensaje. Si no te llega, no significa necesariamente que tus datos estén a salvo, porque la empresa no ha detallado a quién afecta.

El riesgo práctico no está en tus fondos, siempre que tu frase de recuperación siga siendo solo tuya, sino en los engaños. Quien tenga tu nombre, tu dirección y lo que compraste puede dar mucha credibilidad a una llamada, un SMS o una carta. Una regla sencilla: ninguna empresa legítima, ni Keystone ni la policía ni un exchange, necesita que introduzcas tu frase de recuperación en una web, una app o un dispositivo que no compraste tú. Si alguien te la pide, es una estafa.

En España, la dirección postal expuesta también es un dato personal. Si crees que tus datos han podido filtrarse, puedes dirigirte al responsable del tratamiento para ejercer tus derechos de acceso y supresión, y en caso de incumplimiento reclamar ante la Agencia Española de Protección de Datos. Esta brecha no cambia por sí misma nada en tu declaración de la Renta.

Más allá de este caso, merece la pena reducir la huella: si compras hardware de custodia, valora no dar más datos de los necesarios y no presumir en redes de cuánto o dónde guardas.

Para entenderlo

• Seguridad en criptomonedas: cómo proteger tus fondos paso a paso: explica cómo se protege una frase de recuperación y qué señales delatan una estafa.
• Hardware wallet: qué es este tipo de dispositivo y por qué una brecha en la tienda no implica que se roben las claves.
• Phishing: cómo funcionan los engaños que usan datos reales de una compra para ganar credibilidad.