Le fabricant de portefeuilles matériels crypto Keystone a révélé une faille de sécurité sur son site web ayant exposé des informations sur ses clients à des attaquants, suscitant des inquiétudes concernant des arnaques ciblées et des attaques physiques.

L'entreprise a indiqué samedi avoir détecté une activité suspecte plus tôt dans la semaine et avoir confirmé vendredi, après examen de l'activité API avec Shopify, qu'un tiers non autorisé avait accédé aux informations d'expédition de clients. Les données exposées comprenaient les noms, les coordonnées, les adresses d'expédition et d'autres détails de commande, tels que les articles achetés.

« Nous avons bloqué l'accès, corrigé la vulnérabilité, ouvert une enquête et informons par e-mail les clients concernés », a déclaré l'entreprise dans un communiqué sur X.

Keystone a averti que les informations exposées pourraient être utilisées pour des attaques de phishing ciblées. La chercheuse en sécurité Taylor Monahan a soulevé des préoccupations supplémentaires, soulignant que la fuite d'adresses d'expédition pourrait exposer les clients à des attaques physiques et à des enlèvements. Cet épisode met en lumière une vulnérabilité propre à la détention de portefeuilles matériels : les appareils sont conçus pour garder les clés privées hors ligne, mais les données clients détenues par leurs fabricants peuvent être retournées contre la personne qui détient le portefeuille.

Cette révélation intervient dans un contexte de hausse des « attaques à la clé à molette » — des crimes où des menaces ou des violences physiques sont utilisées pour forcer des détenteurs de cryptomonnaies à abandonner leurs actifs. La société de sécurité blockchain CertiK a recensé 52 attaques de ce type vérifiées dans le monde au premier semestre 2026, en hausse de 33 % par rapport aux 39 cas enregistrés sur la même période l'an dernier.

« Encore une fois, nous sommes vraiment désolés pour toutes les personnes touchées », a déclaré Keystone. L'entreprise n'a pas divulgué le nombre de clients impactés.

Keystone interrogée sur sa promesse de supprimer les données clients

La faille a également soulevé des questions sur la gestion par Keystone des informations clients plus anciennes. Dans un article de blog de 2023, l'entreprise indiquait avoir réduit à 180 jours sa durée de conservation des données clients, à la suite d'incidents de sécurité affectant d'autres fabricants de portefeuilles matériels.

Cependant, certains clients ont déclaré avoir reçu des notifications de violation alors qu'ils avaient acheté leur appareil il y a plus de deux ans, ce qui interroge sur les informations conservées par Keystone et sur le fait que ces notifications indiquent que les anciens enregistrements de commande n'ont pas été supprimés comme promis.

Un utilisateur de X se faisant appeler « OG DEGEN » a déclaré avoir un appel d'un escroc se réclamant des forces de l'ordre enquêtant sur une affaire de fraude. D'après les informations personnelles citées par l'appelant, l'utilisateur soupçonne qu'elles avaient été obtenues via une commande Keystone passée en 2024.

« Je pense que leur plan était de me convaincre que mes clés privées avaient été exposées, puis de m'envoyer un lien de phishing prétendument pour les réinitialiser », a écrit l'utilisateur sur X. Cette combinaison d'usurpation d'identité, d'urgence et de lien pour « corriger » des clés exposées suit un schéma de phishing bien connu visant à amener les utilisateurs à saisir leur phrase de récupération — la série de mots permettant de restaurer le contenu d'un portefeuille matériel n'importe où — sur un site contrôlé par l'attaquant.

Un autre utilisateur de X, trintaetres, a également indiqué avoir reçu la notification par e-mail malgré l'achat de l'appareil il y a plus de deux ans.

Cointelegraph a contacté Keystone pour savoir comment des informations clients issues d'achats effectués il y a plus de 180 jours ont pu être exposées malgré la politique de conservation précédemment annoncée, et combien de clients ont été touchés. L'entreprise n'avait pas répondu au moment de la publication. Alors que l'enquête se poursuit, les clients concernés et les observateurs attendront de voir si Keystone explique pourquoi des enregistrements au-delà de la fenêtre de 180 jours semblent avoir été conservés, et combien de personnes ont été exposées.