Filtración de Keystone: roban los datos de 25.964 compras y la clave que autentica sus wallets

Keystone avisó el sábado 24 de que alguien había entrado en su web oficial, donde vende la Keystone 3 Pro por 149 dólares. El lunes 26 publicó el informe completo, y es peor de lo que parecía:

“

El atacante aprovechó una vulnerabilidad en una herramienta externa de monitorización de datos que usa nuestra web para escalar privilegios. Eso le permitió obtener información de clientes y una clave que sirve para verificar la autenticidad de nuestros dispositivos.

La última fila es la que protege tu dinero: la frase de recuperación nunca pasa por la tienda, se genera dentro del aparato. Las demás protegen tu tranquilidad. Una lista de compradores de wallets físicas es una lista de gente que tiene criptomonedas, con su nombre, su teléfono y su casa. Y ojo a los carritos: si dejaste tus datos sin llegar a pagar, puedes estar en la lista.

Lo más serio del informe es la clave. Keystone graba en cada aparato, al fabricarlo, una clave que su página de autenticación usa para comprobar si es auténtico. No se puede borrar ni cambiar, y no interviene ni en la semilla, ni en las claves privadas, ni en las firmas; la que firma el firmware es otra y no se ha visto afectada. Pero con ella, admite la marca, un atacante podría fabricar dispositivos falsos que pasen la verificación y venderlos o enviarlos a clientes.

Junta las dos piezas: miles de compradores con su dirección y una clave para que una wallet manipulada parezca de fábrica. Es el kit perfecto para el timo del aparato «de sustitución». Por eso Keystone deja de usar la clave antigua, destruirá los 18.835 aparatos que tenía en el almacén, ha parado los envíos y vende en preventa: los nuevos, con otra clave, saldrán en cuatro a seis semanas.

Keystone presumía de lo contrario. En junio de 2021, «por lo que les pasó a algunos competidores», anunció que borraría los datos de envío a los 180 días, y avisaba de que una dirección filtrada «podría acabar en secuestros o en ataques con llave inglesa». Su política de privacidad, actualizada el 7 de julio de 2026, lo sigue prometiendo.

Las cuentas las ha dado ella misma. Respondiendo a un usuario, reconoció que, con la regla de 180 días bien aplicada, habrían quedado expuestos 3.576 registros, y 2.233 con un plazo de 90 días. Quedaron 25.964. Es decir, 22.388 registros, el 86 %, no tendrían que haber estado ahí. El motivo: programó una herramienta de borrado automático que fallaba sin que nadie lo comprobara.

Ahora baja el plazo a 90 días, ha pedido a Shopify que borre todo lo que lo supere y espera tenerlo hecho el 3 de noviembre. Para un cliente europeo esto tiene nombre: el Reglamento General de Protección de Datos (RGPD) obliga a guardar los datos personales solo el tiempo necesario (artículo 5.1.e), y se aplica también a Yanssie HK Limited, la empresa de Hong Kong que está detrás de Keystone, cuando vende a gente que vive en la UE (artículo 3.2).

Si te suena, es porque este año ya van seis, en cinco marcas. Ninguna ha expuesto una semilla, todas han salido de la tienda o de un proveedor, nunca del aparato, y en cuatro había datos que debían estar borrados:

La lección que no sale en los titulares: no basta con que una tienda prometa borrar tus datos, alguien tiene que comprobar que lo hace. Lo que viene después ya lo vimos en 2020, cuando los datos de unos 272.000 clientes de Ledger acabaron en un foro: años de correos falsos, llamadas y cartas con el membrete de la marca. Una lista así no caduca.

El primer aviso lo dio un cliente. Le llamaron desde un número que imitaba el de la policía de Montreal: el falso agente le dijo que un detenido por fraude tenía sus datos y le preguntó si le sonaban Keystone, Ledger, Trezor o las criptomonedas. Al revisar su pedido de Keystone de 2024 vio que los datos coincidían.

Lo que más preocupa es la violencia. Jameson Lopp, un desarrollador de bitcoin, recopila en GitHub los ataques físicos conocidos contra poseedores de criptomonedas, con la noticia de cada uno:

De España recoge 15 desde 2018, dos con falsos policías: en Majadahonda en 2024 y en Las Palmas en 2025. Y hay casos con nota oficial: en diciembre de 2025, la Policía Nacional detuvo a cinco personas por retener durante horas a una pareja en Mijas (Málaga) para entrar en sus wallets y asesinar al hombre, y en mayo de 2026 cayó una banda de robos violentos en Madrid que, en un asalto de agosto de 2025, obligó a sus víctimas, atadas, a transferir 1,3 millones de euros en criptomonedas.

Una filtración no causa esos ataques, pero les ahorra trabajo: un nombre y una dirección junto a «compró una wallet física» es justo lo que busca quien no quiere perder el tiempo.

1. 01

   No muevas tus fondos por esto

   Tus claves no estaban en la tienda. Si alguien te mete prisa con una «migración de activos» o una «verificación de la wallet», esa es la estafa.

2. 02

   Si te llegó después del 20 de octubre, no la uses todavía

   Aunque pase la prueba de autenticidad, escribe a soporte para que la verifiquen. Y si te llega un aparato que no has pedido, no lo configures con tu semilla.

3. 03

   Nadie te va a pedir que la devuelvas

   Keystone no hará ninguna retirada. Desconfía también de reembolsos y sustituciones: escribe tú keyst.one en el navegador y, si dudas, escribe a support@keyst.one.

4. 04

   Si te llama «la policía» por tus criptos, cuelga

   Llama tú al 091, de la Policía Nacional, o al 062, de la Guardia Civil, y cuenta lo que te han dicho. Para dudas, la línea 017 de INCIBE es gratuita y atiende todos los días de 8:00 a 23:00.

5. 05

   Pide tus datos y que los borren

   Con el RGPD puedes preguntarle a Keystone qué datos guarda de ti (artículo 15) y pedir que borre los que ya no necesite (artículo 17). Tiene un mes para responder; si no lo hace, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD).

6. 06

   Cuida lo que se ve desde fuera

   No cuentes cuánto tienes. Y si guardas una cantidad seria, valora la passphrase, una palabra extra que abre otra cartera distinta: te la explico en mi guía de seguridad cripto.

Que una tienda pierda tu dirección no hace peor el aparato, y dejar las criptos en un exchange tampoco te libra: allí están tu DNI y tu dirección, por la ley antiblanqueo, y además tus monedas. Lo que cambia es cómo compras: en la tienda oficial o en un distribuidor autorizado, con los datos justos.

La que recomiendo es Ledger, desde 59 euros el Nano S Plus en la tienda oficial de Ledger, enlace de afiliado. Con sus sombras, que en este tema son las mismas: perdió datos de clientes en 2020, sufrió la brecha de Global-e en enero y este mes confirmó un implante espía en carteras de un revendedor. Cómo se comparan las siete marcas, Keystone incluida, lo tienes en mi guía de mejores wallets frías.

Para comprar el bitcoin que guardas, el exchange que uso es OKX, a través de su filial europea, con licencia MiCA de Malta y autorizada en España desde el 27 de noviembre de 2025. Si te encaja, puedes abrir tu cuenta en OKX con mi enlace, que es de afiliado. Con sus sombras: en febrero de 2025 se declaró culpable en Estados Unidos de operar sin licencia de transmisor de dinero y aceptó pagar más de 504 millones de dólares, y en abril de 2025 Malta multó a su filial europea por fallos antiblanqueo.

Las estafas que llegan con tus datos reales, cartas en papel incluidas, las tienes en mi guía de estafas cripto.

• Cuál era la herramienta. Keystone no la nombra, así que no sabemos si otras tiendas la usan.
• Cuántos afectados viven en España y a qué autoridad europea ha avisado: dice que ha informado «en la UE, el Reino Unido y otras jurisdicciones». Según la AEPD, una empresa sin sede en la UE tiene que notificarle una brecha si afecta a personas en España.
• Si los datos se han publicado o vendido. A 27 de octubre no consta.
• Si ya hay aparatos falsos con la clave robada. Keystone no dice que existan, solo que no puede descartarlo en los recibidos desde el 20 de octubre.
• Y no es asesoramiento legal: es mi lectura de los comunicados y de lo que dicen la ley y las autoridades.

Y si lo que te preocupa es perder el aparato o que te lo roben, lo tienes en qué pasa si pierdes tu Ledger o tu Trezor.