Keystone, fabricant de portefeuilles matériels de crypto-monnaies, a révélé que sa récente violation de sécurité était bien plus grave que ce qui avait été annoncé initialement, indiquant que des attaquants ont volé une clé d'authentification essentielle qui pourrait permettre à des appareils contrefaits de passer les contrôles de vérification officiels de l'entreprise.

L'entreprise a fait cette annonce élargie le 26 octobre 2026, après avoir initialement signalé uniquement l'exposition d'informations clients. En réponse, Keystone prévoit de détruire 18 835 portefeuilles matériels, d'interrompre les expéditions en attente et de mettre en place des mesures d'authentification renforcées.

Des attaquants s'emparent de la clé WebAuth

Keystone a détecté pour la première fois un accès non autorisé à son site officiel le 20 octobre. Les enquêteurs ont ensuite déterminé que les attaquants avaient exploité une vulnérabilité d'un outil tiers de surveillance de données, ce qui leur a permis d'obtenir des privilèges d'accès élevés.

Parmi les données dérobées figurait la clé WebAuth de Keystone, l'identifiant utilisé pour vérifier si les portefeuilles matériels sont authentiques. Ce type de contrôle permet aux acheteurs de confirmer qu'un appareil est légitime plutôt que contrefait ou altéré, ce qui place cet identifiant au cœur de la confiance dans le produit lui-même.

La clé est intégrée aux appareils lors de la production, ce qui signifie qu'elle ne peut être ni effacée ni remplacée sur les unités déjà en circulation — contrairement à un mot de passe divulgué, elle ne peut pas simplement être remplacée. Par conséquent, des criminels pourraient en théorie produire des portefeuilles contrefaits capables de passer le processus d'authentification officiel de Keystone, exposant potentiellement des détenteurs de crypto-monnaies peu méfiants au vol de leurs actifs. Keystone a toutefois souligné que la clé volée ne peut pas générer de phrases de récupération, dériver clés privées ni autoriser des transactions en crypto-monnaies. L'entreprise a indiqué n'avoir confirmé aucun cas d'appareil contrefait exploitant cet identifiant compromis.

18 835 appareils à détruire

À la suite de cette découverte, Keystone a annoncé qu'il détruira 18 835 appareils contenant la clé d'authentification compromise. L'entreprise a également suspendu les expéditions des commandes en cours sur son site web jusqu'à ce que des appareils de remplacement soient disponibles.

Les portefeuilles nouvellement fabriqués embarqueront une clé d'authentification différente. Entre-temps, Keystone a fait évoluer ses ventes en ligne vers un modèle de précommande tandis qu'elle prépare son stock de remplacement.

L'enquête a également révélé que des pirates ont accédé à des informations personnelles liées à 25 964 enregistrements d'achat clients. Keystone a aussi identifié 12 873 enregistrements de paiement incomplets susceptibles de contenir des données clients sensibles. Les données exposées comprenaient des noms, des coordonnées, des adresses de livraison et des historiques d'achat. L'entreprise a reconnu que des défaillances de son système de suppression automatisée avaient permis à certaines informations clients d'être conservées plus longtemps que prévu.

Les utilisateurs invités à se méfier des arnaques

Keystone a indiqué que les portefeuilles livrés avant le 20 octobre restent fiables s'ils passent les contrôles d'authentification. Les clients ayant reçu des appareils contenant l'ancienne clé après cette date sont invités à contacter le support officiel pour une vérification supplémentaire.

L'entreprise a également mis en garde les utilisateurs contre de faux avis de rappel, de fausses offres de remplacement et des demandes de transfert d'actifs en crypto-monnaies. Keystone a souligné qu'elle ne demandera jamais aux clients de communiquer leurs phrases de récupération ni de retourner leurs appareils via des demandes de rappel non sollicitées. Ces avertissements prennent un poids particulier compte tenu des enregistrements exposés, puisque les vrais noms, adresses et historiques de commandes peuvent rendre les messages frauduleux crédibles aux yeux des destinataires.

Bien que les clés privées et les phrases de récupération n'aient pas été compromises, cet incident souligne que les risques de sécurité pour les fabricants de portefeuilles matériels dépassent le cadre des appareils eux-mêmes, englobant les données clients et les systèmes d'authentification sur lesquels repose la confiance des investisseurs. Les évolutions à surveiller incluent la confirmation éventuelle d'appareils contrefaits, la reprise des expéditions de remplacement dans le cadre du modèle de précommande et la forme que prendront les mesures d'authentification renforcées promises par Keystone.