La faille du portefeuille Keystone a conduit le fabricant de portefeuilles matériels pour cryptomonnaies à prévoir la destruction de 18 835 appareils invendus, après que des attaquants ont obtenu une clé utilisée pour vérifier l’authenticité de ses produits. Keystone a suspendu l’expédition des commandes passées sur son site web qui n’ont pas encore été exécutées, le temps de préparer des appareils de remplacement.

Points clés à retenir

  • La clé d’authentification volée pourrait permettre à des portefeuilles contrefaits de réussir le processus de vérification de Keystone.
  • L’entreprise a identifié 38 837 enregistrements d’achat et de paiement potentiellement exposés, qui ne correspondent pas nécessairement à autant de personnes distinctes.
  • Keystone a déclaré que les phrases de récupération, les clés privées, les mots de passe et les informations de paiement n’avaient pas été compromis.

Pourquoi la faille du portefeuille Keystone concerne les appareils invendus

Dans une mise à jour de son enquête datée du 26 octobre 2026, Keystone a déclaré que des attaquants avaient accédé à sa clé d’authentification des appareils WebAuth lors d’une faille survenue le 20 octobre dans sa boutique en ligne. L’entreprise a indiqué que les attaquants avaient exploité une vulnérabilité dans un outil tiers de surveillance des données connecté au site web.

La clé est intégrée aux portefeuilles lors de leur fabrication et ne peut ensuite être ni effacée ni réécrite. Keystone prévoit de détruire les stocks concernés plutôt que de distribuer des appareils dont l’authenticité pourrait être difficile à établir. La production future utilisera une nouvelle clé générée à cette fin.

Keystone a déclaré que cet identifiant ne permettait pas de générer des phrases de récupération, de dériver des clés privées ni d’autoriser des transactions. Toutefois, un attaquant disposant de cette clé pourrait potentiellement faire passer un appareil contrefait pour un appareil authentique lors de la vérification.

Conseils aux propriétaires de portefeuilles existants

Keystone a déclaré que les portefeuilles reçus et authentifiés avant le 20 octobre pouvaient être utilisés en toute sécurité. L’entreprise a conseillé aux clients ayant reçu après cette date des appareils contenant l’ancienne clé de contacter son service d’assistance officiel afin d’obtenir des vérifications supplémentaires.

L’entreprise a indiqué qu’elle ne procédait pas à un rappel physique et ne demanderait pas aux clients de renvoyer les portefeuilles existants. Elle est passée à un modèle de précommande le temps de préparer des appareils de remplacement.

Données clients exposées

Keystone a identifié 25 964 enregistrements d’achat qui contenaient encore des informations permettant d’identifier les clients, ainsi que 12 873 enregistrements de paiements incomplets contenant des noms, des coordonnées et des informations d’expédition. Les 38 837 enregistrements au total ne correspondent pas nécessairement à autant de personnes.

L’entreprise a déclaré que son système de suppression automatique n’avait pas appliqué de manière cohérente la politique de conservation annoncée de 180 jours. Elle a réduit la période de conservation à 90 jours et soumis des demandes de suppression pour les enregistrements échus, dont le traitement devait être achevé d’ici au 3 novembre, selon le calendrier de Shopify.

Keystone prévoit d’informer individuellement les clients concernés et de proposer un service leur permettant de vérifier si leurs informations ont été exposées. L’entreprise a indiqué avoir averti les autorités de régulation et les forces de l’ordre dans les juridictions concernées, notamment dans l’Union européenne et au Royaume-Uni.

Prochaine étape clé

La prochaine étape clé annoncée est l’achèvement prévu des demandes de suppression des données échues d’ici au 3 novembre.

Lire plus d’actualités

Plus d’actualités FinanceVelix

Avertissement

Cet article de FinanceVelix fournit des informations générales et ne constitue pas un conseil financier, d’investissement, juridique ou fiscal personnalisé. Les cours du marché, les taux d’intérêt et la conjoncture économique peuvent évoluer ; les investissements comportent un risque de perte. Les faits reflètent les informations disponibles au moment de la publication et peuvent changer. Vérifiez de manière indépendante les informations importantes et consultez un professionnel qualifié si nécessaire. La mention d’un actif, d’une entreprise ou d’un service ne constitue pas une recommandation.