This key is written into wallets during production and cannot be erased or overwritten. The company assured that the key is not used to generate seed phrases, create private keys, or sign transactions.
Sin embargo, al apoderarse de la clave, el atacante puede crear dispositivos falsos que superen con éxito la verificación de autenticidad en el sitio web de Keystone. Si estos dispositivos falsos llegan a clientes que los acepten como productos originales de Keystone, estos clientes perderán sus criptoactivos.
Keystone deja de usar completamente la clave antigua. Todos los nuevos dispositivos se fabricarán con una nueva clave de autenticación. La empresa prometió destruir 18 835 billeteras físicas en inventario que contienen la clave comprometida y no las pondrá a la venta. Keystone ha suspendido el envío de todos los dispositivos no pagados ordenados a través del sitio web oficial y ha pasado las ventas al modo de preorden, hasta que se restablezca la producción de dispositivos con la nueva clave.
El 20 de octubre, los sistemas de monitoreo Keystone detectaron actividad sospechosa en el sitio web. Un desconocido aprovechó una vulnerabilidad en la herramienta de monitoreo de datos. Como resultado del incidente, se vieron comprometidos los datos personales de 25.964 compradores que realizaron pedidos en la plataforma Shopify entre 2024 y 2026. Quedaron accesibles públicamente nombres, datos de contacto, direcciones de entrega e información sobre pedidos. Afortunadamente, el atacante no obtuvo acceso a frases semilla, claves privadas ni datos de pago de los usuarios.
According to Keystone's internal policy, customer data must be deleted after 180 days, but the automated bulk deletion tool malfunctioned, company representatives argue. They acknowledged that the compromised data was not deleted on time. The hacker gained access to 12,873 records of incomplete orders, which also contained names, contact details, and delivery addresses.
Los dispositivos entregados antes del 20 de octubre, el fabricante sugiere considerarlos aptos para su uso — si pasan la verificación de autenticidad. A los compradores que recibieron una billetera con la clave antigua después del 20 de octubre, se les recomienda contactar con el servicio de soporte para una verificación adicional. Incluso si el dispositivo pasa la autenticación, no se puede descartar la posibilidad de que sea una falsificación.
The company announced that it will not ask wallet owners to return devices. Anyone requesting that a wallet be sent for replacement is declared a scammer.
Anteriormente, otro gran fabricante de billeteras de hardware, Ledger, reconoció que un grupo de hackers compró intencionalmente dispositivos. Los atacantes abrían las billeteras e instalaban módulos ocultos para interceptar las frases de semilla. Las billeteras con módulos espía aparecieron incluso en la plataforma rusa Ozon.