Keystone : 18 835 portefeuilles crypto détruits après le vol d'une clé

Keystone, fabricant de portefeuilles matériels pour cryptomonnaies, a annoncé le 26 octobre 2026 qu'il détruirait 18 835 appareils invendus après qu'un pirate a obtenu la clé servant à prouver leur authenticité, rapporte The Hacker News. Les phrases de récupération et les clés privées des utilisateurs ne sont pas concernées.

Que s'est-il passé chez Keystone ?

Keystone a détecté l'accès non autorisé le 20 octobre. L'attaquant a exploité une vulnérabilité d'un outil tiers de suivi de données utilisé par le site web pour élever ses privilèges, ce qui lui a permis d'obtenir des données clients et la clé. L'entreprise dit avoir bloqué l'accès le jour même et corrigé la faille ; elle n'a pas précisé où la clé était stockée, ni quand l'intrus est entré. Une première divulgation, le 24 octobre, ne portait que sur des adresses de livraison.

Pourquoi cette clé compte-t-elle ?

Pour vérifier son appareil, le propriétaire scanne un code QR sur la page de vérification de Keystone puis saisit le code affiché. Le code QR contient une valeur chiffrée que l'appareil déchiffre avec sa clé : un code correct prouve que l'appareil détient la clé. Avec une copie de celle-ci, un contrefacteur pourrait fabriquer des appareils qui passent le test, puis les vendre et voler les cryptomonnaies de leurs acheteurs. Keystone n'a signalé ni appareil contrefait ni vol.

La clé est gravée à la fabrication dans une mémoire inscriptible une seule fois : les appareils déjà produits ne peuvent pas passer à une nouvelle clé, d'où la destruction des 18 835 unités. Les nouveaux appareils recevront une clé différente.

Quelles données clients sont exposées ?

• 25 964 fiches d'acheteurs de commandes passées sur le site de Keystone entre 2024 et 2026 : noms, coordonnées, adresses de livraison et détails de commande, conservés sur Shopify.

• 12 873 paniers non finalisés, inclus par précaution.

• Non concernés selon Keystone : cartes bancaires, coordonnées bancaires, pièces d'identité, achats sur Amazon et autres canaux.

Que doivent faire les propriétaires ?

• Appareil reçu avant le 20 octobre et qui réussit la vérification : considéré comme authentique, à utiliser normalement.

• Appareil reçu après le 20 octobre avec l'ancienne clé : Keystone dit ne pas pouvoir exclure une contrefaçon même si la vérification réussit ; il faut contacter le support et attendre sa confirmation.

Les clients dont les coordonnées ont fuité doivent se méfier des courriels et SMS d'hameçonnage évoquant leur commande ou leur portefeuille. Comparez avec les autres incidents du secteur dans nos articles sur les fuites de données.

Source : The Hacker News.