El fabricante de wallets Bitcoin Keystone retira dispositivos tras el robo de una clave que abre la puerta a falsificaciones
La empresa Keystone, reconocida por sus hardware wallets para Bitcoin, ha anunciado la retirada de dispositivos del mercado después de que atacantes obtuvieran la clave de fábrica utilizada para demostrar que sus productos son auténticos. El incidente afecta a 25,964 registros de compradores, según informó la compañía, que ha calificado el suceso como un problema de seguridad relacionado con la cadena de verificación de autenticidad de sus dispositivos.
La clave comprometida es la que permite verificar que un hardware wallet Keystone ha salido realmente de la fábrica de la empresa y no se trata de una imitación. Con esa clave en manos de terceros, los atacantes podrían crear dispositivos falsos que superen las comprobaciones de autenticidad habituales, lo que representa un riesgo significativo para los usuarios que adquieren productos a través de canales no oficiales o de revendedores no verificados.
Keystone ha querido enviar un mensaje de tranquilidad respecto a los activos de los usuarios. Según la empresa, las frases de recuperación (recovery phrases) y las claves privadas (private keys) no se han visto involucradas en el incidente. Esto significa que, en principio, los fondos almacenados en los dispositivos legítimos no estarían en peligro directo por este robo, ya que la información sensible que controla el acceso a las criptomonedas no forma parte de los datos comprometidos.
Sin embargo, el episodio pone de relieve una de las vulnerabilidades más delicadas del ecosistema de las hardware wallets: la confianza en la cadena de suministro. A diferencia de los ataques puramente digitales, los riesgos físicos —como la manipulación de dispositivos antes de que lleguen al usuario final— requieren protocolos de verificación robustos. La clave de fábrica es precisamente uno de esos mecanismos, y su filtración debilita la capacidad de los compradores de distinguir entre un producto genuino y una falsificación potencialmente maliciosa.
La retirada de dispositivos anunciada por Keystone busca contener el impacto del incidente y evitar que los equipos afectados lleguen a manos de usuarios desprevenidos. La compañía no ha detallado públicamente el alcance completo de la retirada ni el número exacto de dispositivos implicados, pero sí ha confirmado que los 25,964 registros de compradores afectados corresponden a datos de adquisición que podrían haberse visto expuestos como consecuencia del acceso no autorizado.
Para los usuarios de hardware wallets, el caso subraya la importancia de adquirir dispositivos directamente a los fabricantes o a través de distribuidores oficiales, así como de verificar las firmas de autenticidad y mantener actualizado el firmware. En un contexto en el que los ataques a la cadena de suministro de dispositivos cripto se han vuelto más sofisticados, la transparencia de los fabricantes sobre incidentes de este tipo resulta crucial para mantener la confianza del mercado.
Keystone no ha especificado por el momento cómo se produjo el acceso a la clave de fábrica ni si se ha identificado a los responsables. La investigación sigue en curso y la empresa ha indicado que proporcionará más información a medida que avance el proceso. Mientras tanto, la comunidad cripto observa con atención un incidente que recuerda que la seguridad en el ecosistema Bitcoin no depende únicamente del software, sino también de la integridad física y la trazabilidad de los dispositivos que custodian las claves.
