La faille de Keystone s'aggrave : 18 835 wallets crypto risquent d'être détruits

Le vol de la clé d’authentification oblige Keystone à détruire 18 835 portefeuilles

Ce qui semblait au départ être une fuite d’informations clients s’est transformé en un problème de sécurité bien plus grave. Le 26 octobre 2026, Keystone a révélé que des pirates avaient également mis la main sur la clé d’authentification utilisée pour vérifier l’authenticité de ses portefeuilles matériels.

L’entreprise a attribué cette intrusion à une vulnérabilité dans un outil tiers de surveillance des données, qui a permis aux pirates d’élever leurs privilèges d’accès. Keystone a détecté une activité suspecte le 20 octobre, a désactivé les fonctions vulnérables de son site web et a lancé une enquête informatique légale.

Le vol de la clé WebAuth pose un problème particulièrement préoccupant. Un pirate en possession de cette clé pourrait fabriquer des appareils contrefaits capables de passer les contrôles d’authenticité de Keystone, exposant ainsi des acheteurs peu méfiants à un risque de vol d’actifs. Keystone a expliqué que la clé est intégrée de manière permanente lors de la fabrication et ne peut être ni réécrite ni effacée. Par conséquent, le fabricant de portefeuilles matériels prévoit de détruire l’ensemble des 18 835 appareils de son stock actuel contenant la clé compromise. Les portefeuilles nouvellement fabriqués seront équipés d’une clé d’authentification de remplacement. Dans l’intervalle, Keystone a suspendu les expéditions des commandes en cours passées sur son site web et est passé au système de précommandes jusqu’à ce que la production des appareils de remplacement soit prête.

Près de 26 000 dossiers d’acheteurs exposés suite à une défaillance du système de suppression des données

L'enquête a également mis au jour une grave défaillance dans la gestion des données clients de Keystone. Sur les 51 083 dossiers d'acheteurs Shopify examinés, 25 964 contenaient encore des informations personnelles, notamment des noms, des adresses de livraison, des coordonnées et des historiques d'achat datant de 2024 à 2026. Keystone a reconnu que son système de suppression automatisé avait mal fonctionné, ce qui a permis aux informations client de rester stockées au-delà de la durée de conservation de 180 jours prévue par sa politique. « Nous n’avons pas respecté notre engagement d’effacer les données client dans les délais, et nous assumons la responsabilité de cet échec », a déclaré l’entreprise.

Les enquêteurs ont également identifié 12 873 enregistrements de commandes non réglées contenant des informations client potentiellement sensibles. Keystone a inclus ces enregistrements dans sa réponse et a lancé des demandes de suppression supplémentaires. Le fabricant a raccourci sa période de conservation à 90 jours et prévoit que les demandes de suppression de données d’acheteurs en retard, soumises le 24 octobre, seront finalisées le 3 novembre. Le dernier rapport d’analyse rétrospective de Keystone fait suite à la divulgation par Foundation, un fabricant de portefeuilles matériels basé à Boston qui a également subi une fuite de données clients.

Les propriétaires actuels de portefeuilles reçoivent de nouvelles consignes de sécurité

Keystone affirme que les phrases de récupération, les clés privées, les identifiants des portefeuilles et les informations de paiement n’ont pas été compromis. Les clients ne sont pas invités à transférer leurs cryptomonnaies uniquement en raison de cet incident. Les appareils livrés avant le 20 octobre peuvent continuer à être utilisés en toute sécurité s’ils passent l’authentification, précise l’entreprise. Les appareils reçus après cette date et utilisant la clé compromise nécessitent une vérification supplémentaire auprès du service client, même si l’authentification aboutit. Keystone a également mis en garde ses clients contre les messages frauduleux de rappel demandant le renvoi des appareils. La société a transmis des rapports réglementaires à l’UE, au Royaume-Uni et dans d’autres juridictions, et prévoit de mettre en place des outils de recherche de violations ainsi que de mener de nouveaux audits de sécurité. Pour un fabricant vendant des appareils conçus pour éliminer la dépendance vis-à-vis de tiers, la perte de la clé qui établit la confiance dans son propre matériel constitue une contradiction particulièrement difficile à gérer.