OneKey limita los datos de clientes a 30 días tras el incumplimiento de la promesa de borrado de Keystone
- OneKey afirmó que conservará los datos de los clientes durante un máximo de 30 días después de que Keystone admitiera que su sistema de eliminación de 180 días falló, dejando expuestos 25.964 registros de compradores en una filtración.
- Esta medida es importante para los compradores de billeteras de hardware porque los datos robados de pedidos alimentan amenazas de phishing y riesgos para la seguridad física, y porque las promesas de eliminación dependen de las tiendas Shopify y los socios de envío que realmente poseen los registros.
- Keystone también está destruyendo 18.835 dispositivos después de que atacantes robaran la clave que verifica su hardware.
El fundador de OneKey, Yishi Wang, se ha comprometido a eliminar los datos de los clientes dentro de los 30 días posteriores a la admisión de fallo por parte del fabricante rival de billeteras de hardware, Keystone, respecto a su sistema de eliminación de 180 días tras una filtración que expuso casi 26.000 registros de compradores.
El centro de ayuda de Keystone señaló que la eliminación final de los registros de usuario es manejada por Shopify. Esta revelación expone una vulnerabilidad de seguridad a nivel de las tiendas Shopify y las empresas logísticas, fuera del control de los fabricantes de billeteras como OneKey y Keystone, a pesar del compromiso de este último de 30 días.
Por qué OneKey reduce su ventana de retención de datos
Yishi Wang de OneKey confirmó el martes que el fabricante de carteras de hardware está auditando su propio sistema de seguridad tras los recientes ataques y brechas de seguridad que expusieron vulnerabilidades en el sector en el que opera.
Wang enfatizó que la medida es precautoria, escribiendo que «OneKey NO ha experimentado un incidente de seguridad». Más bien, la decisión de limitar la retención de datos a 30 días es una respuesta directa a lo que ocurrió en otros lugares.
La razón detrás de la ventana de retención de datos más corta es que cuanto más tiempo conserva un proveedor los datos de los clientes, mayor es el conjunto de datos de clientes que puede verse expuesto en caso de brechas.
¿Qué causó la brecha de Keystone?
Keystone reveló que el sistema que elimina automáticamente los datos de los clientes al final de su período de retención de datos de 180 días había dejado de funcionar sin activar ninguna señal de alarma. «No cumplimos con nuestro compromiso de borrar los datos de los clientes a tiempo, y asumimos la responsabilidad por este fallo», dijo la empresa.
Keystone encontró que 25.964 registros aún contenían datos personales, nombres, direcciones de envío, detalles de contacto e historiales de compras durante un revisión de 51,083 registros de compradores de Shopify. Al parecer, los datos anteriores a 2024 seguían siendo retenidos, mucho después del límite de 180 días la firma destacó después de que los clientes de Ledger se enteraran de una filtración en el socio de comercio electrónico Global-e en enero de 2026.
Los investigadores encontraron detalles sensibles en otros 12.873 registros de pago sin completar.
En respuesta, Keystone ha reducido ahora su período de retención a 90 días.
Keystone también reveló el 26 de octubre que los atacantes también robaron la clave WebAuth que utilizan sus dispositivos para demostrar su autenticidad, rastreando la intrusión hasta un fallo en una herramienta de monitoreo de terceros que permitió a los intrusos elevar sus permisos de acceso. Keystone detectó por primera vez la actividad el 20 de octubre.
Dado que la clave está grabada en cada dispositivo durante la fabricación y no puede sobrescribirse, Keystone planea destruir las 18.835 unidades en inventario que la contienen. Las nuevas carteras reciben una clave de reemplazo.
La empresa ha detenido los envíos de pedidos pendientes del sitio web y ha pasado a tomar pedidos por reserva previa.
Las promesas de eliminación solo son tan buenas como los socios que poseen los datos
Cabe destacar que los fabricantes de billeteras de hardware no son los únicos que conservan datos de clientes. Las plataformas de comercio electrónico y los socios de envío también manejan nombres, direcciones e historiales de pedidos de los clientes, y es precisamente en ese nivel donde han ocurrido la mayoría de las brechas recientes.
Filtración de datos de Trezor alcanzó a 81.000 clientes después de que su socio de envíos, ShipMonk, no eliminara los registros a pesar de las reiteradas garantías por escrito. SafePal expuso sobre 39,798 clientes a través de una vulnerabilidad en el seguimiento de pedidos y desde entonces ha reducido su período de retención a 90 días. Ledger confirmó que los dispositivos revendidos por CryptoBilis ocultaban chips que capturaban las frases de recuperación. Cryptopolitan, citando investigadores on-chain, estimó las pérdidas en más de $86 millones.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Por qué OneKey reduce su retención de datos a 30 días?
Yishi de OneKey declaró en X que la empresa está reforzando su seguridad tras una ola de brechas de datos y ataques a la cadena de suministro en la industria de las billeteras de hardware, y señaló que OneKey no ha sido vulnerada.
¿Qué admitió Keystone sobre su política de eliminación de 180 días?
Keystone indicó que su sistema de eliminación automática falló, dejando 25.964 de 51.083 registros de Shopify con datos personales más allá del límite de 180 días, y reconoció que incumplió su compromiso de borrar los datos a tiempo.
¿Por qué Keystone destruye 18,835 billeteras de hardware?
Los atacantes robaron la clave de autenticación que Keystone utiliza para verificar los dispositivos genuinos, y dado que dicha clave se integra durante la fabricación y no puede reescribirse, la empresa está desechando las 18.835 unidades afectadas y suspendiendo los envíos.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
