Fuite chez Keystone : adresses d’acheteurs divulguées et clé d’authenticité volée

Keystone, qui fabrique des portefeuilles matériels pour la cryptomonnaie, affirme qu’un attaquant entré dans son site Web la semaine dernière a pris deux choses : les renseignements d’expédition de dizaines de milliers d’acheteurs, et la clé dont ses appareils se servent pour prouver qu’ils sont authentiques. Les phrases de récupération et les clés privées n’ont pas été exposées. Si vous avez acheté un portefeuille Keystone, ou comptez le faire, voici ce qu’on sait.

Ce qui s’est passé

Keystone a d’abord dit avoir détecté un accès non autorisé à sa boutique Shopify le 20 octobre 2026 et confirmé le 23 octobre que des données d’expédition de clients avaient été prises, selon DigitalToday (en anglais). Dans une mise à jour plus complète le 26 octobre, Keystone a indiqué que l’attaquant est entré par une faille dans un outil de surveillance tiers utilisé par son site et s’en est servi pour obtenir plus d’accès, selon Cointelegraph (en anglais).

Selon cette mise à jour, les données qui ont pu être prises comprennent :

• 25 964 dossiers d’acheteurs de 2024 à 2026, avec noms, coordonnées, adresses d’expédition et détails des commandes
• jusqu’à 12 873 dossiers de paiements jamais terminés, conservés par Shopify

Keystone affirme que les données de paiement, les phrases de récupération, les clés privées et les mots de passe de portefeuille n’ont pas été exposés. Elle a aussi admis que certains de ces dossiers auraient déjà dû être supprimés selon sa politique de conservation de 180 jours, mais que son outil de suppression automatique a échoué sans que personne ne s’en aperçoive. « We failed to fulfill our commitment to erase customer data on time, and we accept responsibility for this failure » (nous n’avons pas tenu notre engagement d’effacer les données des clients à temps et nous en assumons la responsabilité), a écrit Keystone, cité par CoinDesk (en anglais). Elle dit qu’elle conservera désormais les données des clients 90 jours.

La clé d’authentification volée est intégrée aux appareils pendant la production et ne peut pas être changée. Keystone prévient qu’elle pourrait permettre à des contrefaçons de réussir sa vérification d’authenticité en ligne. L’entreprise dit qu’elle détruira 18 835 appareils invendus qui contiennent cette clé et qu’elle a suspendu les expéditions jusqu’à ce que des appareils dotés d’une nouvelle clé soient prêts.

Ce que ça veut dire pour vous

Pour les propriétaires de portefeuilles, la fuite d’adresses est le risque le plus concret au quotidien. Les fraudeurs savent maintenant que ces personnes possèdent de la cryptomonnaie et où elles habitent. Keystone a prévenu que des clients pourraient recevoir des appels, des textos, des courriels ou même des lettres offrant des remboursements, des appareils de remplacement ou des modifications de commande, et que vous n’avez pas besoin de déplacer vos fonds à cause de cette fuite à elle seule.

Pour l’appareil lui-même, Keystone affirme que les portefeuilles livrés avant le 20 octobre qui réussissent sa vérification d’authenticité peuvent continuer à servir. Si le vôtre est arrivé après cette date, elle vous demande de communiquer avec son soutien pour une vérification supplémentaire avant de l’utiliser.

Ce que vous pouvez faire

1. N’entrez jamais votre phrase de récupération dans un appareil que vous n’avez pas configuré vous-même, y compris un appareil arrivé sans que vous l’attendiez. Aucune vraie entreprise ni aucun agent de soutien n’en a besoin.
2. Ignorez les messages de « rappel » ou de « migration de vos actifs ». Keystone affirme que vous n’avez pas besoin de déplacer vos fonds à cause de cette fuite à elle seule.
3. Vous avez reçu un appareil après le 20 octobre? Communiquez avec le soutien de Keystone par son site officiel, en tapant l’adresse vous-même, avant de l’utiliser.
4. Attendez-vous à des arnaques qui connaissent votre adresse. Méfiez-vous de tout colis, appel ou lettre inattendu au sujet de votre portefeuille.
5. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Les alias de courriel de Frame vous permettent aussi de donner à chaque boutique sa propre adresse, pour qu’une fuite dans un magasin ne mène pas les fraudeurs directement à votre boîte principale. Nous ne recueillons ni ne conservons jamais les données divulguées elles-mêmes.

Sources

• Cointelegraph, Keystone breach deepens: Hackers stole key used to verify wallets as genuine (en anglais), 27 octobre 2026
• CoinDesk, Crypto wallet maker Keystone to destroy almost 19,000 devices after security breach (en anglais), 27 octobre 2026
• DigitalToday, Keystone Shopify store breach leaks customer data for hardware wallet maker (en anglais), 27 octobre 2026