OneKey limita los datos de clientes a 30 días tras el incumplimiento de la promesa de borrado de Keystone

El fundador de OneKey, Yishi Wang, se ha comprometido a eliminar los datos de los clientes dentro de los 30 días posteriores a la admisión de fallo por parte del fabricante rival de billeteras de hardware, Keystone, respecto a su sistema de eliminación de 180 días tras una filtración que expuso casi 26.000 registros de compradores.

El centro de ayuda de Keystone señaló que la eliminación final de los registros de usuario es manejada por Shopify. Esta revelación expone una vulnerabilidad de seguridad a nivel de las tiendas Shopify y las empresas logísticas, fuera del control de los fabricantes de billeteras como OneKey y Keystone, a pesar del compromiso de este último de 30 días.

Por qué OneKey reduce su ventana de retención de datos

Yishi Wang de OneKey confirmó el martes que el fabricante de carteras de hardware está auditando su propio sistema de seguridad tras los recientes ataques y brechas de seguridad que expusieron vulnerabilidades en el sector en el que opera.

Wang enfatizó que la medida es precautoria, escribiendo que «OneKey NO ha experimentado un incidente de seguridad». Más bien, la decisión de limitar la retención de datos a 30 días es una respuesta directa a lo que ocurrió en otros lugares.

La razón detrás de la ventana de retención de datos más corta es que cuanto más tiempo conserva un proveedor los datos de los clientes, mayor es el conjunto de datos de clientes que puede verse expuesto en caso de brechas.

¿Qué causó la brecha de Keystone?

Keystone reveló que el sistema que elimina automáticamente los datos de los clientes al final de su período de retención de datos de 180 días había dejado de funcionar sin activar ninguna señal de alarma. «No cumplimos con nuestro compromiso de borrar los datos de los clientes a tiempo, y asumimos la responsabilidad por este fallo», dijo la empresa.

Keystone encontró que 25.964 registros aún contenían datos personales, nombres, direcciones de envío, detalles de contacto e historiales de compras durante un revisión de 51,083 registros de compradores de Shopify. Al parecer, los datos anteriores a 2024 seguían siendo retenidos, mucho después del límite de 180 días la firma destacó después de que los clientes de Ledger se enteraran de una filtración en el socio de comercio electrónico Global-e en enero de 2026.

Los investigadores encontraron detalles sensibles en otros 12.873 registros de pago sin completar.

En respuesta, Keystone ha reducido ahora su período de retención a 90 días.

Keystone también reveló el 26 de octubre que los atacantes también robaron la clave WebAuth que utilizan sus dispositivos para demostrar su autenticidad, rastreando la intrusión hasta un fallo en una herramienta de monitoreo de terceros que permitió a los intrusos elevar sus permisos de acceso. Keystone detectó por primera vez la actividad el 20 de octubre.

Dado que la clave está grabada en cada dispositivo durante la fabricación y no puede sobrescribirse, Keystone planea destruir las 18.835 unidades en inventario que la contienen. Las nuevas carteras reciben una clave de reemplazo.

La empresa ha detenido los envíos de pedidos pendientes del sitio web y ha pasado a tomar pedidos por reserva previa.

Las promesas de eliminación solo son tan buenas como los socios que poseen los datos

Cabe destacar que los fabricantes de billeteras de hardware no son los únicos que conservan datos de clientes. Las plataformas de comercio electrónico y los socios de envío también manejan nombres, direcciones e historiales de pedidos de los clientes, y es precisamente en ese nivel donde han ocurrido la mayoría de las brechas recientes.

Filtración de datos de Trezor alcanzó a 81.000 clientes después de que su socio de envíos, ShipMonk, no eliminara los registros a pesar de las reiteradas garantías por escrito. SafePal expuso sobre 39,798 clientes a través de una vulnerabilidad en el seguimiento de pedidos y desde entonces ha reducido su período de retención a 90 días. Ledger confirmó que los dispositivos revendidos por CryptoBilis ocultaban chips que capturaban las frases de recuperación. Cryptopolitan, citando investigadores on-chain, estimó las pérdidas en más de $86 millones.

No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.