Keystone, un fabricante de carteras de hardware para criptomonedas, informó que un acceso no autorizado a su tienda online expuso nombres, datos de contacto, direcciones de envío y detalles de pedidos de clientes, según un comunicado de la empresa publicado el 24 de octubre.
La compañía dijo que detectó el acceso no autorizado a su tienda basada en Shopify el 20 de octubre y lo confirmó el 23 de octubre. Los datos de pago, cuentas bancarias, frases semilla, claves privadas y contraseñas de las carteras no se vieron afectados, según Keystone.
Keystone había prometido públicamente eliminar los datos de envío a los 180 días de un pedido y afirmaba que, a diferencia de otros fabricantes de carteras, no conservaba los datos de los clientes de forma indefinida. Los clientes afectados aseguran lo contrario: uno dijo haber comprado su cartera hace más de dos años, mientras que otro señaló que habían pasado 214 días desde su último pedido, muy por encima del plazo prometido.
Keystone se disculpó con sus clientes. «Confiaron en nosotros con esos datos, y lamentamos no haberlos protegido», afirmó la empresa. También advirtió a los usuarios que nunca compartan su frase semilla o sus claves privadas con nadie.
Algunos clientes denunciaron intentos de estafa en los que los atacantes citaban datos de sus pedidos anteriores, lo que generó preocupación por el phishing y por la seguridad física de los propietarios de carteras de hardware cuyas direcciones quedaron expuestas.
Keystone no ha revelado cuántos clientes se vieron afectados, cómo ocurrió la brecha ni la identidad del atacante.
Un caso similar ocurrió en la industria en 2020, cuando una brecha en Ledger, competidor de Keystone, expuso datos de unos 272.000 clientes; algunos de ellos recibieron después cartas fraudulentas por correo pidiéndoles su frase semilla.
