Un ciberdelincuente que logró acceso al sitio web de Keystone se hizo con la clave que sus carteras hardware utilizan para demostrar su autenticidad, según reveló la empresa en un comunicado emitido el 26 de octubre.
La posesión de esa clave permitiría fabricar dispositivos falsificados capaces de superar la comprobación en línea que los propietarios emplean para verificar un Keystone. Un comprador que confiara en una imitación podría sufrir el robo de sus criptomonedas, aunque el incidente no afectó a las frases de recuperación ni a las claves privadas de las carteras de los usuarios.
Keystone destruirá 18.835 dispositivos sin vender que incorporan esa clave, y todos los dispositivos nuevos recibirán una nueva.
La empresa detectó el acceso no autorizado el 20 de octubre, y su recomendación a los propietarios depende de cuándo llegó el dispositivo. Para un dispositivo recibido después de esa fecha con la clave antigua, la compañía señaló: «Incluso si un dispositivo de este tipo supera la autenticación, no podemos descartar por completo la posibilidad de que sea falsificado».
Los propietarios de un dispositivo en esa situación deben contactar con el soporte de Keystone y usarlo solo después de que la empresa confirme que es auténtico.
Según Keystone, un dispositivo entregado antes del 20 de octubre que supere la comprobación puede considerarse genuino y utilizarse con normalidad. La compañía no ha precisado cuándo accedió el atacante por primera vez.
El atacante aprovechó una vulnerabilidad en una herramienta de monitorización de datos de terceros utilizada por el sitio web de Keystone para escalar privilegios, según la empresa. Eso le permitió obtener datos de clientes y la clave.
Keystone bloqueó el acceso del atacante el 20 de octubre y desde entonces ha corregido la vulnerabilidad. No ha revelado dónde se almacenaba la clave.
Cómo funciona la comprobación del dispositivo
El propietario escanea con el dispositivo un código QR de la página de verificación de Keystone y luego introduce en la página el código que muestra el dispositivo.
En el firmware de código abierto de Keystone, el código QR contiene ese código de forma cifrada, y el dispositivo lo descifra con la clave que almacena. Por tanto, un código correcto demuestra que el dispositivo posee la clave.
La clave se usa únicamente para esta comprobación. No interviene en la creación de frases de recuperación, la derivación de claves privadas ni la firma de transacciones.
Cualquiera que tenga una copia de la clave podría generar los códigos correctos, de modo que un dispositivo falsificado que la incorporara podría superar la comprobación. Esos dispositivos podrían venderse o enviarse a clientes, lo que llevaría al robo de sus criptomonedas, según Keystone. La empresa no ha informado de ningún dispositivo falsificado ni de robos.
La clave se graba en cada dispositivo durante la fabricación y no puede borrarse ni reescribirse. El firmware la mantiene en una memoria que solo puede escribirse una vez y rechaza aceptar una segunda clave. Por ello, los dispositivos ya fabricados no pueden cambiarse a la nueva clave.
Registros de clientes
Keystone reveló por primera vez la brecha el 24 de octubre, al señalar que un tercero había obtenido información de envío de clientes.
El incidente afectó a 25.964 registros de compradores de compras realizadas en el sitio web de Keystone entre 2024 y 2026, según la empresa el 26 de octubre. Los registros contienen nombres, datos de contacto, direcciones de envío y detalles de los pedidos. La tienda en línea de Keystone funciona con Shopify, que almacenaba y gestionaba los registros.
Keystone indicó que no se vieron implicados datos de tarjetas de pago, datos bancarios ni números de identificación oficial. Los registros de compras de Amazon y de otros canales de venta de Keystone no resultaron afectados.
Keystone también ha incluido por precaución 12.873 registros de pagos no completados en su respuesta. Estos contienen nombres, datos de contacto e información de envío de compras que nunca se finalizaron.
Parte de los datos afectados ya deberían haberse eliminado. Keystone había prometido borrar la información de envío 180 días después de cada pedido.
Una herramienta automatizada que Keystone creó para eliminar registros de forma masiva no funcionaba de manera fiable. Algunas eliminaciones fallaron y Keystone no detectó los fallos a tiempo.
Keystone reducirá de 180 a 90 días el periodo de conservación de los datos personales de los clientes, con efecto inmediato. Ha solicitado a Shopify que elimine los datos personales de los compradores con más de 90 días y espera que ello se complete el 3 de noviembre. A fecha del 27 de octubre, su política de privacidad seguía indicando 180 días.
Keystone está enviando correos electrónicos a los clientes afectados y planea habilitar una página donde las personas puedan comprobar si su información se vio afectada.
Qué deben hacer los propietarios de un Keystone
La orientación de Keystone abarca estas situaciones:
- Entregado antes del 20 de octubre: un dispositivo que supera la comprobación puede usarse con normalidad.
- Recibido después del 20 de octubre con la clave antigua: no utilizar el dispositivo hasta que el soporte de Keystone, en support@keyst.one, confirme que es auténtico. Keystone indicó a estos propietarios que siguieran las instrucciones de su página de verificación de dispositivos, pero la página no mostraba tales instrucciones a fecha del 27 de octubre. Keystone no ha explicado cómo saber qué clave lleva un dispositivo ni qué deben hacer los propietarios que ya hayan enviado criptomonedas a un dispositivo de ese tipo.
- Pendiente de un pedido del sitio web de Keystone: los envíos están pausados hasta que estén listos los dispositivos con la nueva clave. A fecha del 27 de octubre, la tienda mostraba el Keystone 3 Pro como pedido anticipado con envío previsto en un plazo de 4 a 6 semanas.
- Comprado en Amazon o a un revendedor: se aplica la misma orientación, porque se basa en cuándo llegó el dispositivo, no en dónde se compró. Keystone vende a través de tiendas oficiales de Amazon y revendedores autorizados. Keystone no ha indicado si los dispositivos con la clave antigua siguen a la venta en esos canales.
- Ya tener criptomonedas en un Keystone: según Keystone, los propietarios no necesitan mover sus criptomonedas solo por este incidente. Quienes tengan un dispositivo recibido después del 20 de octubre con la clave antigua deben seguir igualmente los pasos anteriores.
- Mensajes fraudulentos: tratar como estafa cualquier llamada, mensaje de texto, correo electrónico o carta que ofrezca un reembolso, un dispositivo de sustitución, una retirada del mercado, una verificación de cartera o ayuda para mover criptomonedas. Keystone no pedirá a nadie que devuelva un dispositivo. Nunca introducir una frase de recuperación en un dispositivo que no se haya pedido, y escribir keyst.one en el navegador en lugar de seguir enlaces.
Deja una respuesta