Keystone y Foundation admiten fallos de borrado que dejaron almacenados datos personales de compradores de wallets

Keystone y Foundation han reconocido fallos que dejaron almacenada información personal de compradores de wallets más allá de los plazos previstos para su borrado, después de que sendos incidentes de seguridad pusieran de manifiesto deficiencias en la gestión de los registros de clientes.

Keystone se había comprometido a borrar los datos a los 180 días; la política de Foundation establecía un plazo de 60 días desde el envío.

Las actualizaciones de sus investigaciones describen fallos distintos: una herramienta de borrado poco fiable en el caso de Keystone y copias antiguas de bases de datos que escaparon al proceso de anonimización de Foundation.

Ambas empresas aseguran que las claves privadas de las wallets y las frases de recuperación no se vieron comprometidas. Los hallazgos afectan a datos como nombres, datos de contacto y direcciones de envío, no a las credenciales utilizadas para controlar las criptomonedas de los clientes.

Keystone promocionaba el borrado, pero los registros de compradores permanecieron almacenados

Keystone había presentado su política de borrado como un motivo para elegir sus productos. En una publicación de marzo citada por The Block, la empresa escribió: "Borramos tus datos de envío en un máximo de 180 días".

Su comunicado del 26 de octubre identifica 25.964 registros de compradores correspondientes al periodo comprendido entre 2024 y 2026 que todavía contenían información personal.

Otros 25.119 registros de compradores ya habían sido desprovistos permanentemente de esos datos antes del acceso no autorizado. La empresa también identificó 12.873 registros de procesos de pago no abonados que contenían información introducida por personas que nunca completaron el pago.

Las cifras no permiten determinar cuántos compradores individuales se vieron afectados ni cuántos registros superaron el plazo establecido. Sí distinguen entre los registros que aún conservaban datos personales y los que ya habían sido anonimizados.

Los hallazgos posteriores de Foundation, publicados por CryptoTimes, identifican aproximadamente 5.600 direcciones postales y 5.200 números de teléfono, además de nombres y direcciones de correo electrónico, en sistemas accesibles para los atacantes.

La empresa no puede confirmar que se accediera a todos los registros y los considera potencialmente expuestos.

Los borrados fallidos y las copias antiguas escaparon a las comprobaciones

Keystone detectó un acceso inusual a su web el 20 de octubre. Su investigación concluyó que un atacante explotó una vulnerabilidad en una herramienta de monitorización de terceros y obtuvo información de clientes.

La empresa había desarrollado una herramienta automatizada porque borrar registros individualmente a través del panel de Shopify resultaba ineficiente. Algunas tareas de borrado fallaron y Keystone no detectó ni solucionó esos errores a tiempo. En su comunicado afirma: "Aceptamos la responsabilidad por este fallo".

El problema de Foundation estuvo relacionado con copias que quedaron atrás cuando se reorganizó la base de datos de su antigua tienda online.

Su proceso de borrado eliminaba los datos personales de las tablas de pedidos más recientes, mientras que las copias antiguas los conservaban. Los pedidos aparecían anonimizados en el panel de administración, en el que la empresa se había basado para determinar si la información había desaparecido.

La investigación también detectó lagunas relacionadas con carritos abandonados, formularios de contacto y otros registros. Los datos de clientes de la nueva tienda de Shopify todavía no habían sido anonimizados manualmente, mientras las herramientas de borrado automático seguían en desarrollo.

El incidente de Foundation salió a la luz a través de correos de phishing que parecían proceder de sus dominios y pedían a los destinatarios que revelaran sus frases de recuperación.

La exactitud de los datos personales hizo más convincentes esos mensajes, pero no toda la información de los destinatarios tenía necesariamente que proceder de sus sistemas: más de 5.000 direcciones de correo electrónico atacadas no figuraban en sus registros de clientes.

Los borrados solicitados aún están pendientes

Keystone ha reducido su periodo de conservación a 90 días. El 24 de octubre solicitó a Shopify que borrara la información atrasada de los compradores; estaba previsto que el proceso concluyera el 3 de noviembre, tras un periodo de espera de 10 días. También pidió eliminar los datos de procesos de pago no abonados que llevaban más de 30 días almacenados.

Otra consecuencia está relacionada con una clave robada utilizada para comprobar si los dispositivos de Keystone son auténticos.

No se trata de una clave privada de una wallet, pero su exposición podría permitir que dispositivos falsificados superaran los controles de autenticidad. Keystone planea destruir 18.835 dispositivos sin vender que contienen la clave antigua y ha suspendido los envíos de pedidos realizados en su web mientras se fabrican los reemplazos.

Foundation ha desconectado los servicios heredados afectados y ha prometido publicar un informe completo. La empresa planea borrar permanentemente la copia de los datos heredados que mantiene desconectada una vez concluya su investigación. Desconectar esa copia limita el acceso, pero la información personal seguirá almacenada hasta que se lleve a cabo el borrado.