Keystone : des clés de fabricant volées ouvrent la voie à des portefeuilles Bitcoin contrefaits

Keystone, un fabricant de portefeuilles matériels Bitcoin qui gardent hors ligne les codes secrets contrôlant vos cryptomonnaies, a déclaré lundi qu'il détruira 18 835 appareils invendus après que des attaquants ont obtenu la clé qui prouve que son matériel est authentique. L'entreprise a également suspendu l'expédition de toutes les commandes non expédiées depuis son site web.

Pour les acheteurs, le risque est un portefeuille contrefait qui semble neuf et passe la propre vérification de Keystone, car l'attaquant a obtenu la clé sur laquelle repose cette vérification. Un criminel pourrait alors vendre un tel appareil à quelqu'un qui y charge de vraies économies.

« S'il est exposé, un attaquant pourrait l'utiliser pour produire des appareils contrefaits qui passent les contrôles d'authentification », a déclaré Keystone dans son communiqué. « Ces appareils pourraient ensuite être vendus ou expédiés à des clients, qui pourraient les utiliser sans le savoir comme des produits authentiques, ce qui pourrait entraîner un vol d'actifs. »

Keystone l'appelle une clé WebAuth, un code secret inscrit dans chaque appareil à l'usine afin qu'une page du site web de l'entreprise puisse confirmer que le matériel est authentique. Il ne peut être effacé ni réécrit, et les 18 835 unités en stock qui en sont équipées sont détruites plutôt que vendues.

Keystone a d'abord déclaré samedi qu'un tiers avait obtenu des informations d'expédition de clients. Le communiqué de lundi a ajouté la clé volée et un décompte de 25 964 dossiers d'acheteurs concernés, mais il ne précise pas qui est responsable ni quand l'attaquant est entré pour la première fois.

L'incident a touché des dossiers de la boutique Shopify de Keystone, la plateforme de commerce électronique qui gérait ses ventes en ligne. Keystone indique que 51 083 dossiers d'acheteurs ont été impliqués, mais que 25 119 avaient déjà vu leurs informations personnelles effacées, laissant 25 964 dossiers de 2024 à 2026 contenant encore des noms, des coordonnées, des adresses de livraison et des informations de commande. Les achats effectués via Amazon et d'autres canaux n'ont pas été affectés.

BitcoinBTC · USD

$80,605−2.34%

Oct 20Oct 22Oct 24Oct 26Oct 27

$84.8k$83.1k$81.3k$79.6k

24h HighHigh$80,573

24h LowLow$79,416

VolVol$1.0B

→

Acheter Bitcoin avec USDT

Propulsé par Jupiter

Données de prix par CoinGeckoCoinGeckoPlus d'actualités et de projections sur Bitcoin →

Une partie de ces données aurait déjà dû être supprimée. La politique de Keystone consistait à effacer les dossiers des acheteurs après 180 jours, et l'outil automatisé de suppression en masse qu'elle avait développé pour cette tâche ne fonctionnait pas de manière fiable.

« Certaines tâches d'effacement ont échoué, et nous n'avons pas détecté ni traité ces échecs à temps, ce qui a entraîné la conservation de certaines informations personnelles au-delà de la période autorisée », a déclaré Keystone. « Nous n'avons pas honoré notre engagement d'effacer les données des clients dans les délais, et nous assumons la responsabilité de cet échec. »

Les listes de clients sont un point faible récurrent pour les fabricants de portefeuilles. La fuite de Ledger en 2020 a fini par toucher environ 292 000 clients, et ceux qui ont ensuite reçu des courriels d'hameçonnage craignaient de pouvoir devenir des cibles de cambriolages à domicile.

Trezor et SafePal ont chacun divulgué des violations de données clients en août, affectant respectivement 13 689 clients et environ 39 798 clients.

Les noms et adresses comptent en raison des attaques par clé à molette, dans lesquelles des criminels utilisent des menaces ou la violence pour forcer les propriétaires à remettre leurs cryptomonnaies. Chainalysis a recensé 46 attaques violentes au cours du premier semestre 2026, avec plus de 30 millions de dollars dérobés.

Le fabricant a également averti au sujet d'escrocs proposant une « migration d'actifs », une « vérification de portefeuille » ou une « assistance à l'enquête ».

Les ventes sur le site web de Keystone passeront en précommandes jusqu'à ce que la production d'appareils dotés d'une nouvelle clé soit terminée, et l'entreprise indique avoir soumis des rapports aux autorités de l'UE, du Royaume-Uni et d'autres juridictions.

Keystone a réduit sa période de conservation des données clients de 180 jours à 90 et a demandé à Shopify le 24 octobre d'effacer toutes les données d'acheteurs en retard, un processus comportant une période d'attente de 10 jours. L'entreprise s'attend à ce que l'effacement soit terminé le 3 novembre.