Desde hace años, la industria de las criptomonedas y sus usuarios han enfrentado riesgos de ciberataques y filtración de datos pero actualmente la cadena de acontecimientos relacionados con ciberseguridad en el ecosistema cripto se está acelerando vertiginosamente, al punto que prácticamente a diario estamos siendo testigos de nuevos incidentes.
as bad as things have gotten in the past 4 days, they are going to get a lot worse before they get better. security leaders, never let a crisis go to waste: please go to your boards and ask for help right now. not for ai, for the basics. (we need to hold on for ~18 months.)
— Jason D. Clinton 🔸 (@JasonDClinton) October 22, 2026
Ya lo decía la semana pasada, Jason Clinton, Subdirector de Seguridad de la Información o CISO Adjunto de Anthropic, que advirtió que “Por más malas que hayan sido las cosas en los últimos 4 días, van a empeorar mucho antes de que mejoren. Líderes de seguridad, nunca dejen que una crisis se desperdicie: por favor, vayan a sus juntas y pidan ayuda ahora mismo. No por la IA, por lo básico. (Necesitamos aguantar ~18 meses.)”
Y ese es precisamente el punto, porque hay que prepararse para la avalancha de incidentes de ciberseguridad que pueden venir de ahora en adelante. Muestra de ello es que la semana pasada, la empresa detrás de la popular billetera de hardware Keystone, confirmó una brecha de seguridad que dejó al descubierto información personal y de envíos de sus usuarios.
Esta vez, la falla de ciberseguridad no es atribuible 100% a Keystone, porque no fue una falla en su hardware, tampoco fue una falla en un protocolo de red de capa conectado a su billetera o por un error en la ejecución de un contrato inteligente, sino por una falla del proveedor de comercio electrónico.
We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we’re sorry we didn’t keep them safe. Exposed: names, contact details, shipping addresses, and order details (items and prices). Not exposed: payment card or bank details, recovery phrases, private keys, or wallet passwords. We’ve blocked access, fixed the vulnerability, opened an investigation, and are emailing affected customers. Scammers may pose as Keystone by phone, text, email, or mail, offering refunds, replacement devices, or «fixes» for your order or address. None of it is from us. NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order. We will never ask for them. Don’t click links in unexpected messages. Type https://t.co/7km8AZM288 yourself. A detailed report is coming soon. Until then, trust only our official channels. If anything feels off, email [email protected]. We’d rather hear from you than have you take a chance. Again, we’re truly sorry to everyone affected.
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
El incidente, reportado inicialmente a través de canales de redes sociales debido a la inactividad temporal del blog oficial de la compañía (probablemente por las vulnerabilidades de PHP que se hicieron públicas la semana pasada), pone de manifiesto los riesgos latentes asociados a las plataformas de terceros utilizadas por los fabricantes de dispositivos de autocustodia.
De acuerdo con el comunicado oficial emitido por la firma, los hechos se remontan al pasado 20 de octubre, fecha en la que los sistemas de monitoreo detectaron un acceso no autorizado a su sitio Web oficial.
Tras una investigación interna y la revisión de la actividad de la API junto con Shopify —la plataforma utilizada para gestionar las operaciones de su tienda online—, el equipo confirmó el 23 de octubre que un tercero logró extraer la base de datos correspondiente a los envíos de los clientes.
Es fundamental trazar una línea divisoria clara entre los datos que se vieron comprometidos y aquellos que permanecen seguros, ya que al tratarse de un incidente circunscrito exclusivamente al entorno de la tienda en línea y las operaciones logísticas, la infraestructura central de seguridad de los dispositivos Keystone se mantuvo intacta.
Los datos que quedaron expuestos a manos de actores maliciosos incluyen: “Nombres y apellidos de los compradores, Información de contacto, abarcando direcciones de correo electrónico y números de teléfono, Direcciones físicas de envío detalladas, así como el historial de pedidos, especificando los artículos adquiridos y los precios pagados en cada transacción”.
Por el contrario, la compañía ha enfatizado de manera categórica que los elementos críticos de seguridad financiera de los usuarios no sufrieron ninguna vulneración, ya que los atacantes no obtuvieron acceso a los detalles de tarjetas de pago o información bancaria, ni mucho menos a las frases de recuperación de 12 o 24 palabras (seed phrases), las claves privadas o las contraseñas de las billeteras, ya que son plataformas totalmente diferentes.
En términos estrictos de ciberseguridad, los fondos de los usuarios en la cadena de bloques no corren un peligro directo derivado de una intrusión técnica al firmware del dispositivo pero ciertamente, el verdadero peligro de esta filtración de datos es “la ingeniería social y el phishing dirigido”, así como también los “ataques de llave inglesa”, (conocidos en inglés como wrench attack).
Si bien la tranquilidad de saber que las claves privadas siguen a buen recaudo es un alivio, la filtración de datos de envío y contacto abre la puerta a un vector de ataque sumamente efectivo para los ciberdelincuentes: la ingeniería social.
Contar con nombres, direcciones postales y números de teléfono reales permite a los estafadores diseñar campañas de phishing y vishing (phishing telefónico) altamente personalizadas para atacar directamente a sus víctimas.
Es altamente probable que en las próximas semanas los afectados comiencen a recibir correos electrónicos, mensajes de texto (SMS), llamadas telefónicas o incluso correspondencia física apócrifa.
Bajo estas modalidades, los suplantadores suelen hacerse pasar por el servicio de soporte técnico de Keystone, utilizando la información filtrada para ganarse la confianza de la víctima, pueden argumentar falsamente que existen problemas con el envío del pedido, que el dispositivo adquirido presenta fallas de fábrica o que se ha habilitado un programa de reembolsos y reemplazos urgentes.
El objetivo final de estas maniobras siempre es el mismo: inducir al usuario a hacer clic en enlaces maliciosos, descargar archivos infectados o, en el peor de los casos, revelar su frase de recuperación bajo la falsa premisa de una “verificación de seguridad”.
Desde la empresa han sido tajantes al respecto al señalar que ninguna comunicación legítima de su parte solicitará jamás la frase de recuperación o las claves privadas, ni exigirá la introducción de información sensible en páginas web que no correspondan estrictamente a sus canales oficiales.
Ante cualquier duda, la recomendación de los expertos es ignorar por completo las comunicaciones proactivas y navegar de forma manual escribiendo la dirección oficial en la barra del navegador.
Asimismo, no se debe dejar de lado la tendencia relacionada con los ataques físicos contra personas vinculadas a criptomonedas, llamados ataques con llave inglesa que son aquellos en los que se utiliza el secuestro y la coerción violenta contra las víctimas para obligarlas a revelar sus claves de criptomonedas.
En estos ataques, una vez que los delincuentes tienen la certeza de que la víctima posee un dispositivo de almacenamiento de criptomonedas, explotan las vulnerabilidades del comportamiento humano y la seguridad física, evitando las medidas de seguridad digital más robustas. Estos ataques físicos han aumentado tanto en frecuencia como en gravedad y se han expandido a nivel global, como lo indicó el año pasado TRM Labs en un reporte. .
Todo puede ser posible, desde un asalto en plena calle, un allanamiento en la dirección de la víctima o un secuestro, los cuales en la mayoría de los casos van cargados con altos niveles de intimidación y violencia que resultan extremadamente traumáticos para las víctimas, con la finalidad de obtener las frases semilla del dispositivo, las claves del mismo o también obligarlas a realizar un envío de todos sus fondos a una dirección controlada por los atacantes.
Desde Keystone, se ha procedido a bloquear el acceso no autorizado, corregir la vulnerabilidad detectada en la interfaz y abrir una investigación exhaustiva en colaboración con los soportes técnicos de Shopify.
Asimismo, la empresa de hardwallets ha comenzado el envío de notificaciones individuales por correo electrónico a todos los clientes cuya información se haya visto comprometida en la base de datos de envíos que se compartía con Shopify.
La compañía ha prometido la publicación de un informe técnico detallado en cuanto concluyan las indagaciones pertinentes, con el fin de transparentar el alcance exacto de la brecha y las medidas correctivas implementadas para evitar que una situación similar se repita en el futuro.
Sin duda, este episodio sirve como un recordatorio crítico sobre la vulnerabilidad de la cadena de suministro y los servicios periféricos que rodean al ecosistema criptográfico, ya que no basta con que los usuarios inviertan sumas considerables en adquirir el mejor hardware de seguridad del mercado para aislar sus activos del entorno digital, confiando en que el eslabón más débil no será el dispositivo físico, sino la infraestructura corporativa de la tienda donde se realizó la compra.
Para los entusiastas y profesionales del sector financiero descentralizado, este tipo de filtraciones refuerza la necesidad de adoptar prácticas de higiene digital avanzadas, entre ellas se destacan el uso de direcciones de correo electrónico dedicadas exclusivamente a compras de tecnología financiera, la utilización de seudónimos o apartados postales cuando sea posible, y el escepticismo permanente ante cualquier comunicación de soporte que llegue sin haber sido solicitada de forma expresa por el usuario.
Mientras la investigación de Keystone avanza y los analistas continúan evaluando el impacto de la brecha en la base de datos de Shopify, la regla de oro en la gestión de activos digitales sigue más vigente que nunca, que es “desconfiar de las comunicaciones inesperadas y urgentes, blindando el factor humano frente a los intentos de manipulación psicológica”