Keystone 3 Pro vs Trezor Model T

Keystone detectó el 20 de octubre de 2026 un acceso no autorizado a su web oficial. En su actualización del 26 de octubre, la empresa explicó que el atacante aprovechó una vulnerabilidad en una herramienta de monitorización de datos de un tercero para escalar privilegios. 25.964 registros de compradores de 2024–2026 aún contenían datos personales —nombres, datos de contacto, direcciones de envío y detalles del pedido—, y se cuentan además 12.873 registros de pedidos no pagados. Keystone reconoció que no había cumplido del todo su promesa de borrar los datos de envío en 180 días y ha reducido el plazo de conservación a 90 días.

El atacante también obtuvo la clave con la que la web de Keystone comprueba si un dispositivo es auténtico. La clave se graba en cada dispositivo en fábrica y no se puede cambiar, así que Keystone destruirá los 18.835 dispositivos en stock que la llevan y dará una clave nueva a los que fabrique a partir de ahora. Los pedidos en la web están en pausa hasta que esos dispositivos estén listos. Según Keystone, no se expusieron frases de recuperación, claves privadas ni datos de pago, y no se pide a los propietarios que muevan sus fondos por este incidente.

Recomendaciones de Keystone:

• Un dispositivo entregado antes del 20 de octubre de 2026 que supera la comprobación de autenticidad es auténtico.
• Si recibiste después del 20 de octubre un dispositivo con la clave antigua, Keystone no puede descartar del todo una falsificación aunque supere la comprobación: contacta con el soporte de Keystone para una verificación adicional antes de usarlo.
• Keystone no pedirá a nadie que devuelva un dispositivo. Trata como estafa cualquier mensaje de «retirada», reembolso, migración o verificación de la wallet, y nunca introduzcas una frase de recuperación en un dispositivo que no hayas pedido tú.

La brecha afecta a datos de clientes y a la comprobación de autenticidad en línea, no a cómo el dispositivo genera o protege las claves, por lo que no cambia nuestras puntuaciones.

El 28 de octubre de 2026 Trezor recibió el aviso de un comprador de Indonesia sobre una placa de circuito adicional dentro de un Trezor Safe 5 comprado en agosto de 2026 a CryptoBilis, el mismo revendedor del sudeste asiático cuyos dispositivos Ledger llevaban implantes de hardware. Según el aviso, la placa está entre la placa base y la pantalla, lee lo que muestra la pantalla, incluida la frase de recuperación, y lo envía por una red móvil. Trezor aún no ha examinado el dispositivo, considera creíble el aviso y está gestionando su envío a su laboratorio.

Trezor afirma que no tiene avisos sobre ningún otro revendedor ni indicios de que algún cliente haya perdido fondos; la persona que lo comunicó ya había movido sus fondos. Trezor retiró a CryptoBilis de su lista de revendedores autorizados el 9 de octubre de 2026.

La recomendación de Trezor se aplica a cualquier modelo Trezor comprado a CryptoBilis a partir de marzo de 2026:

• Si el dispositivo aún no está configurado, no lo configures y nunca introduzcas en él una frase de recuperación existente.
• Si ya lo usas, mueve tus fondos cuanto antes a una nueva wallet con una frase de recuperación generada de nuevo. Restaurar la frase antigua en otro dispositivo no resuelve el problema.
• Conserva el dispositivo y contacta con el soporte de Trezor: los compradores afectados pueden recibir un dispositivo nuevo o un vale. No lo abras; según Trezor, pesarlo no es una prueba fiable.

El aviso se refiere a cómo llegó un dispositivo a un comprador, no al diseño del dispositivo, por lo que no cambia nuestras valoraciones. Actualizaremos este aviso cuando Trezor publique el resultado de su examen.