Keystone, uno de los fabricantes de monederos hardware para criptomonedas, ha confirmado una brecha de seguridad en su tienda online. La compañía detectó el 20 de octubre un acceso no autorizado a su sitio web oficial y, tras revisar la actividad de la API con Shopify, confirmó el 23 de octubre que un tercero había obtenido información de envío de clientes: nombres, datos de contacto, direcciones de envío y detalles de los pedidos (qué se compró y a qué precio).

Keystone insiste en que los datos más sensibles no se vieron afectados: ni los datos de pago, ni las frases de recuperación, ni las claves privadas de los monederos formaban parte de la información expuesta — esos datos nunca pasan por la tienda online, solo por el propio dispositivo.

La compañía dice que elimina los datos de envío 180 días después de cada pedido, pero varios clientes afirman que se filtró información de compras más antiguas.
Si eso se confirma, el fallo no estaría solo en el acceso no autorizado, sino en una retención de datos que no cumplía lo prometido.

Keystone dice haber cortado el acceso, corregido la vulnerabilidad que lo permitió, abierto una investigación interna y empezado a avisar por correo a los clientes afectados. La compañía promete un informe más detallado del incidente en los próximos días.

Qué significa para ti

Si has comprado un monedero Keystone, revisa tu correo (incluido spam) por si has recibido el aviso, y a partir de ahora trata con desconfianza cualquier mensaje que diga venir de Keystone o de su soporte: la dirección de envío expuesta es exactamente el tipo de dato que permite montar un phishing creíble ("tu pedido tiene un problema de aduana", «verifica tu dispositivo…»). Keystone recomienda no introducir nunca una frase de recuperación en un dispositivo que no hayas pedido tú directamente, no seguir enlaces de correos inesperados y escribir la dirección de la web a mano en el navegador en vez de hacer clic. Si usas otro monedero hardware, el caso de Trezor en agosto (brecha en su proveedor de envíos ShipMonk, casi 14.000 clientes) deja claro que el problema no es exclusivo de una marca: la cadena de envío de un fabricante de hardware es tan sensible como el propio dispositivo.

Fuentes: x.com · theblock.co · crowdfundinsider.com