Le fabricant de portefeuilles matériels Keystone a reconnu le 26 octobre 2026 que la violation de son site web allait au-delà d'une fuite de données clients. L'attaquant a également obtenu la clé WebAuth - l'identifiant numérique intégré aux appareils Keystone lors de la fabrication et utilisé pour le contrôle d'authenticité en ligne.
Comment s'est déroulée la violation de Keystone
Keystone a détecté un accès suspect à son site web le 20 octobre 2026. L'attaquant a exploité une vulnérabilité dans un outil de surveillance tiers intégré au site et a élevé ses privilèges jusqu'au niveau requis. L'entreprise a coupé l'accès de l'attaquant le jour même et corrigé la vulnérabilité.
La première déclaration publique n'a été diffusée que le 24 octobre - à ce moment-là, Keystone a signalé le vol des coordonnées des clients et des adresses de livraison. Deux jours plus tard, le 26 octobre, elle a annoncé une perte bien plus grave - la clé d'authentification des appareils WebAuth.
Les données clients ont fuité en raison d'une défaillance procédurale propre à Keystone. La boutique Shopify de l'entreprise contenait 51,083 fiches d'acheteurs. Selon sa politique de conservation de 180 jours, 25,119 d'entre elles auraient dû être supprimées - et elles l'ont été. Les 25,964 fiches restantes, datant de 2024 à 2026, se sont retrouvées à la portée de l'attaquant: l'outil automatisé de suppression en masse a fonctionné de manière peu fiable, certaines opérations se sont bloquées, et Keystone n'a pas réussi à le détecter à temps.
Parallèlement, l'attaquant pourrait avoir eu accès à 12,873 fiches de paiement Shopify - des données issues d'achats inachevés. Keystone a déjà demandé à Shopify de supprimer les fiches de paiement conservées au-delà de 30 jours.
La menace de contrefaçon: ce que cela signifie pour les propriétaires de Keystone
La clé WebAuth n'est pas un simple mot de passe. Elle est intégrée à un appareil lors de la fabrication et ne peut plus être remplacée par la suite. Ce qui signifie que les 18,835 appareils du stock de Keystone porteurs de la clé divulguée ne peuvent plus être sécurisés - ils seront détruits. Les expéditions via le site sont suspendues, et l'entreprise passe à un modèle de précommande.
Pour les acheteurs, la situation se divise autour de la date du 20 octobre. Les appareils livrés avant cette date sont sûrs - leur contrôle d'authenticité mérite toujours confiance. Les appareils livrés après le 20 octobre sont remis en question: même si un tel appareil passe le contrôle, Keystone ne peut garantir qu'il ne s'agit pas d'une contrefaçon. Ces propriétaires ont été invités à contacter le support pour une vérification supplémentaire avant d'utiliser l'appareil.
La production de nouveaux appareils dotés d'une clé d'authentification différente est déjà en cours. Les expéditions ne reprendront qu'une fois ces appareils prêts. Keystone réduit sa durée de conservation des données clients de 180 à 90 jours.
Les clés privées, les phrases de récupération, les mots de passe des portefeuilles, les informations bancaires et les numéros de documents n'ont pas été concernés par l'incident. Les appareils Passport (la seconde gamme de produits de Keystone) n'ont pas été affectés. L'entreprise n'a pour l'instant recensé aucun acheteur concerné ni aucun cas de cryptomonnaie volée lié à l'incident.
Keystone dans la série d'incidents touchant les portefeuilles matériels en 2026
La violation de Keystone est devenue le quatrième incident majeur dans l'industrie des portefeuilles matériels au cours des quatre derniers mois. Chaque attaque a sa propre nature, mais le vecteur est commun - la chaîne d'approvisionnement et l'infrastructure entourant les appareils.
En juillet 2026, le fabricant de Coldcard, Coinkite, a averti ses utilisateurs d'une faille du firmware - les appareils généraient des phrases de récupération avec une entropie réduite, et des attaquants en ont profité pour détourner des millions de dollars. En août, Trezor a révélé une faille chez son partenaire logistique ShipMonk; le nombre initial de clients concernés était de 14,000, et il est passé à 80,000 en septembre. Ce même mois d'août, SafePal a signalé une compromission de son plug-in de suivi de commandes - la fuite a touché environ 40,000 acheteurs. En octobre, Ledger a demandé aux revendeurs d'Asie du Sud-Est et de Hong Kong de suspendre les ventes après des signalements selon lesquels les appareils vendus dans la région contenaient des implants non autorisés capables d'intercepter les phrases de récupération.
