El incidente de Keystone se agrava: los hackers robaron una clave usada para verificar la autenticidad de las billeteras

El fabricante de billeteras hardware Keystone indicó que un atacante que accedió a su sitio web la semana pasada también robó una clave para verificar la autenticidad de sus dispositivos, ampliando el alcance del incidente, inicialmente divulgado como una filtración de datos de clientes.

En un comunicado emitido el lunes, Keystone señaló que la clave de autenticación robada podría permitir a los atacantes fabricar billeteras falsas que superen sus controles de autenticidad.

«Estos dispositivos podrían venderse o enviarse a clientes, quienes podrían usarlos sin saberlo como productos genuinos, lo que podría derivar en el robo de activos», afirmó Keystone.

Este incidente se suma a una serie de ataques contra fabricantes de billeteras hardware este año.

A principios de este mes, Ledger pidió a sus distribuidores en el sudeste asiático y Hong Kong suspender las ventas tras informes de que los dispositivos vendidos en la región contenían implantes no autorizados capaces de capturar frases de recuperación.

A finales de julio, Coinkite, fabricante de Coldcard, emitió una advertencia a los usuarios tras explotar los atacantes un error que provocaba que sus dispositivos generaran semillas de billetera con menor entropía de la prevista, lo que derivó en el robo de millones de dólares en criptomonedas.

Keystone destruirá más de 18 000 dispositivos con la clave antigua

En su última actualización, Keystone indicó que el atacante explotó una vulnerabilidad en una herramienta de monitoreo de terceros usada por su sitio web para escalar privilegios.

«Esto permitió al atacante obtener cierta información de clientes y una clave usada para verificar la autenticidad de nuestros dispositivos.»

Keystone indicó que destruirá 18 835 dispositivos en inventario que contienen la clave comprometida y ha suspendido los envíos de producción de todos los dispositivos que la usan.

La empresa señaló que los envíos se reanudarán una vez comience a producir dispositivos con una nueva clave de autenticación.

Keystone afirmó que los dispositivos fabricados y entregados antes del incidente del 20 de octubre deben considerarse seguros y que sus controles de autenticidad siguen siendo fiables.

No obstante, no puede garantizar la autenticidad de los dispositivos entregados después de esa fecha y recomienda a los clientes afectados contactar a su equipo de soporte para verificación adicional.

Keystone confirma la filtración de 25 964 registros de compradores

Keystone también reveló la magnitud de la filtración de datos de clientes, indicando que la tienda Shopify de su sitio web generó 51 083 registros de compradores.

De ellos, 25 119 habían sido eliminados según su política de retención de datos de 180 días.

Sin embargo, los 25 964 registros restantes, fechados entre 2024 y 2026, podrían haber sido robados por el atacante. Keystone indicó que las entradas más antiguas no se eliminaron debido a un fallo en su herramienta automatizada para borrar grandes volúmenes de datos.

«La herramienta no funcionó de forma fiable: algunas tareas de borrado fallaron y no detectamos ni resolvimos dichos fallos a tiempo, lo que provocó que cierta información personal se conservara más allá del plazo permitido», afirmó Keystone.

Además, el atacante podría haber accedido también a 12 873 registros de caja de clientes retenidos por Shopify: datos de compras no finalizadas.

Keystone señaló que había contactado a Shopify para solicitar la eliminación de la información personal contenida en registros de caja conservados más de 30 días.

Este incidente recuerda la filtración de datos ocurrida en junio de 2020 en Ledger, que expuso más de un millón de direcciones de correo electrónico, además de nombres, números de teléfono y direcciones postales de clientes. La información filtrada alimentó durante años intentos de phishing dirigidos a los afectados.

Otros fabricantes de monederos hardware también han sufrido brechas que involucraron información de clientes y servicios de terceros este año.

En agosto, Trezor reveló una brecha en su socio logístico que expuso información de clientes; en septiembre, el número de usuarios afectados superó los 80 000.

SafePal informó también en agosto de una vulnerabilidad en el seguimiento de pedidos que expuso datos de casi 40 000 clientes, mientras que BitBox fue blanco de una campaña de phishing en septiembre mediante un proveedor externo de correo electrónico comprometido.

Revista: 5 alternativas a Ledger para almacenar tu Bitcoin