Filtración de datos de usuarios de Keystone: cómo protegerse del phishing y ataques dirigidos

Se filtran en la red las direcciones de envío de los compradores de Keystone

Keystone sufrió un fallo de seguridad en su sitio web – varios atacantes consiguieron acceso a las direcciones de envío de los compradores. Un experto en seguridad ya advirtió a la comunidad de que los detalles de los pedidos exponen a los dueños de criptomonedas. Hablamos de phishing dirigido y ataques físicos directos.

Justo después saltó un segundo escándalo. Keystone afirma públicamente que borra los datos personales de sus clientes 180 días después de procesar el pedido. Sin embargo, varios usuarios en la red X desmintieron esto: la filtración incluye datos de compras hechas mucho antes de ese plazo. Muy fuerte.

La situación es pésima. La gente compra un dispositivo físico justo para aislarse al máximo de los riesgos online y termina desanonimizada en la puerta de su casa.

Las promesas de los 180 días y la realidad

El caso de Keystone destapó un problema viejo en la industria: la brecha entre la política de privacidad sobre el papel y el guardado real de registros. Si una empresa promete en su web que borra las bases de datos tras 180 días, el comprador espera un olvido digital. En la práctica, los registros antiguos se quedan durante años en los servidores de las tiendas, los CRM y las bases de datos de las empresas de logística.

En la red X hay decenas de comentarios de indignación. La gente pregunta directamente: ¿por qué la información de compras de hace meses terminó en manos de los hackers? No hay una respuesta clara. La base de datos ya voló.

Los atacantes consiguieron una lista completa: nombre, apellidos, dirección física y la certeza de que esa persona guarda criptomonedas en casa. Es la pista perfecta para dos tipos de ataques.

• Phishing dirigido. Correos falsos a nombre de Keystone con actualizaciones de firmware fraudulentas o alertas inventadas sobre el bloqueo del dispositivo.
• Presión física. La amenaza de que aparezcan en tu propia casa con la famosa llave inglesa de cinco dólares.

Qué hacer si se filtraron tus datos

Ya no sirve de nada entrar en pánico, toca cambiar los protocolos de seguridad personal. La filtración de la dirección de envío no significa que hayan hackeado las claves privadas de la wallet (la frase semilla sigue segura dentro del chip). Pero la presión psicológica sobre los usuarios empezará de inmediato. De verdad.

Nosotros aconsejamos actuar paso a paso:

• Borren de inmediato cualquier correo a nombre de Keystone. Un fabricante de wallets frías nunca les pedirá ingresar la frase semilla en un sitio web, confirmar el saldo o pasar por una reificación.
• Si reciben un dispositivo nuevo supuestamente para reemplazar uno comprometido, tírenlo a la basura o mándenlo a una auditoría independiente. Jamás conecten aparatos de repuesto que lleguen al buzón.
• Revisen las transacciones entrantes y las conexiones entre sus wallets. Si los atacantes vinculan su dirección física con los rastros on-chain, intentarán vigilar sus transferencias. Usen nuestra herramienta AML checker para controlar la limpieza de los flujos de entrada y salida y ver cómo lucen sus direcciones ante los sistemas analíticos.
• Dividan el almacenamiento de sus activos. No mantengan todo su capital en un solo dispositivo cuya dirección ronda por la red. Pueden repartir la mayor parte: mover una fracción a un almacenamiento frío sin vínculo con su domicilio y usar otra parte para operar. Pueden evaluar la seguridad de las plataformas de trading en nuestra sección de reseñas de exchanges de criptomonedas.

En resumen, mantengan a la vista el equilibrio de riesgos. Monitoreen el movimiento de activos y cómo gestionamos los riesgos públicamente: pasen por nuestra sección abierta del portafolio para ver cómo distribuir los fondos en épocas de inestabilidad.

Una lección para todo el mercado

Lo ocurrido con Keystone no es el primer incidente de este tipo en el mundo cripto, pero los usuarios siguen tropezando con la misma piedra. Al pedir una wallet física a la dirección particular y pagarla con tarjeta personal, ustedes mismos conectan su identidad con las criptomonedas. Si hackean la tienda, no les robarán la frase semilla de forma remota, pero irán a buscarla en persona. Así de claro.

Al comprar cualquier herramienta de privacidad, es fundamental usar direcciones neutrales: apartados postales, direcciones de oficinas o envíos a puntos de recogida con datos de contacto alternativos cuando el servicio lo permita.

Las wallets frías siguen siendo el estándar de seguridad si saben usarlas correctamente y no se creen los cuentos corporativos sobre el borrado de registros. Si quieren ver en detalle cómo configurar un almacenamiento frío y evitar caer en trampas tras filtraciones como esta, lean nuestro artículo especializado sobre la elección y configuración de wallets.