Keystone admite una filtración con direcciones de sus compradores

Keystone, uno de los fabricantes de monederos físicos para criptomonedas, reconoció el sábado que alguien entró sin autorización en su página web y se llevó datos de sus clientes: nombres, direcciones de envío, datos de contacto y el detalle de cada compra. La empresa sostiene que las frases de recuperación y las claves privadas no se vieron comprometidas, y por el diseño del aparato eso encaja: esos secretos se generan dentro del dispositivo y no viajan a la tienda que lo vende. Lo que salió de la web fue la lista de compradores. Para una marca que vende seguridad y la envía por mensajería, es justo el archivo que no se puede perder, porque pone nombre, apellidos y portal a personas de las que se sabe algo más: que tienen criptomonedas y que les preocupan lo suficiente como para haber pagado por un aparato que las guarde.

Qué salió de la web y qué dice Keystone que no salió

El aviso describe un acceso no autorizado al sitio y cuatro tipos de información expuesta: identidad del comprador, dirección de entrega, vía de contacto y el historial de pedidos, que incluye el modelo adquirido. Keystone separa con cuidado ese inventario del otro, el que de verdad mueve fondos: las claves y las frases de recuperación. Un monedero físico está hecho precisamente para esa separación. El fabricante conoce a quién le mandó un paquete; no conoce las doce o veinticuatro palabras que el comprador apuntó después en papel, porque nunca pasan por su servidor.

En el aviso recogido por Bitcoin.com no consta cuántos clientes figuran en el archivo expuesto, ni desde cuándo tenía el intruso acceso al sitio, ni si la compañía ha notificado el incidente a alguna autoridad europea. Tampoco hay, por ahora, nadie señalado: no se atribuye la intrusión a ningún grupo.

Una dirección postal no se cambia como una contraseña

La diferencia entre que se filtre un correo electrónico y que se filtre una dirección de envío es sencilla: el correo se abandona y se abre otro. La casa, no. Un listado que cruza domicilio con la compra de un monedero físico sirve para tres cosas que ya se han visto antes. Para el fraude dirigido, el correo o el mensaje que cita el modelo exacto y el número de pedido y pide la frase de recuperación «para migrar el dispositivo». Para el envío de aparatos falsos o manipulados a un domicilio real, con la carta de la marca imitada. Y para la extorsión directa a quien se supone que guarda algo en casa.

El precedente lo marcó Ledger en 2020, cuando su tienda en línea dejó al aire las direcciones postales de sus compradores. Lo que vino después no fue el robo de las claves, sino meses de correos de extorsión, llamadas y paquetes sospechosos. La propia Bitcoin.com coloca ahora a Keystone en una lista de fabricantes de monederos con problemas de seguridad en 2026 que empieza por Ledger, que a principios de octubre abrió una investigación sobre posibles aparatos manipulados tras una tanda de denuncias de robos.

El RGPD alcanza a la tienda aunque la sede esté fuera de Europa

Un comprador en España no queda al margen por que la empresa venda desde el otro extremo del mundo. El Reglamento General de Protección de Datos se aplica a cualquier compañía que ofrezca bienes a residentes en la Unión Europea, y le impone dos obligaciones con reloj: comunicar la brecha a la autoridad de control en un plazo de 72 horas desde que la conoce, y avisar a los afectados cuando el riesgo para ellos sea alto. Una lista de domicilios de gente con criptomonedas encaja en esa segunda casilla.

La autoridad de control aquí es la Agencia Española de Protección de Datos, y el afectado que no reciba comunicación o reciba una insuficiente puede presentar una reclamación. Para el otro frente, el de los mensajes que empezarán a llegar citando datos verdaderos, el teléfono 017 de INCIBE atiende consultas de ciudadanos sobre fraudes y suplantaciones. Si no sabes distinguir ese correo del legítimo, nuestra guía sobre estafas con criptomonedas y sus señales y la lista de medidas de seguridad por impacto explican qué pide un fabricante de verdad y qué no pide nunca: ninguno reclama la frase de recuperación por correo, por chat ni por teléfono.

La reclamación ante la AEPD se presenta por su sede electrónica y no cuesta nada; el plazo empieza a contar desde que el afectado conoce el incidente, y el de Keystone se hizo público el sábado 24 de octubre.

Fuentes

• Keystone Wallet Data Breach Exposes Buyers’ Addresses to Scammers — Bitcoin.com, 24/10/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.