Le fabricant de portefeuilles matériels Keystone a confirmé une violation de données clients ayant exposé des noms, coordonnées, adresses de livraison et historiques d'achat, après qu'un tiers non autorisé a accédé à son site web.

L'entreprise a détecté une activité suspecte le 20 octobre 2026 et confirmé le vol de données le 23 octobre après examen de l'activité de l'API Shopify. Les enregistrements compromis comprenaient les produits achetés par les clients et leurs prix — des informations qui pourraient permettre d'identifier les propriétaires de portefeuilles matériels et leurs adresses physiques. Comme les portefeuilles matériels conservent hors ligne les clés privées qui contrôlent les avoirs en crypto-monnaies, les enregistrements associant un appareil spécifique à une adresse de domicile sont considérés comme sensibles, même lorsque les appareils eux-mêmes n'ont pas été compromis.

Keystone a rendu l'incident public le 24 octobre dans un communiqué sur X, confirmant que les données de cartes bancaires, informations bancaires, phrases de récupération, clés privées et mots de passe de portefeuilles n'avaient pas été exposés.

Le fabricant a depuis bloqué l'accès non autorisé, corrigé la vulnérabilité et commencé à notifier les clients concernés par e-mail. Il n'a pas précisé combien de clients ont été exposés ni comment l'attaquant a obtenu les informations.

L'activité de l'API Shopify a exposé les historiques d'achat

L'enquête de Keystone a retracé l'accès non autorisé jusqu'à l'infrastructure e-commerce soutenant son site web, et non une compromission de ses portefeuilles matériels. Les données exposées combinent les identités des clients et leurs adresses de livraison avec des historiques d'achat précis, offrant aux attaquants des occasions d'usurper l'identité du fabricant en s'appuyant sur des détails de transaction authentiques.

Un attaquant pourrait mentionner la commande réelle d'un client, l'appareil acheté ou son adresse de livraison pour tenter d'extraire des informations supplémentaires via des appels, e-mails ou messages frauduleux. Keystone a averti que des escrocs pourraient proposer des remboursements, des portefeuilles matériels de remplacement ou une aide pour résoudre de prétendus problèmes de livraison, ces démarches pouvant arriver par e-mail, SMS, téléphone ou courrier postal.

L'entreprise n'a pas identifié l'attaquant, établi combien d'enregistrements ont été volés, ni précisé si l'intrusion impliquait des identifiants d'API compromis, une vulnérabilité applicative ou une autre méthode d'accès. L'implication de Shopify dans l'enquête sur l'API n'indique pas que l'infrastructure plus large de Shopify ait été compromise.

Le dernier d'une série de violations chez des fabricants de portefeuilles

L'incident fait suite à une série de violations similaires impliquant des fabricants de portefeuilles de crypto-monnaies et leurs partenaires e-commerce.

En septembre, Trezor a élargi son enquête sur une violation de données chez ShipMonk après avoir découvert qu'environ 67 000 clients américains supplémentaires avaient vu leurs informations personnelles exposées. Les enregistrements concernés comprenaient des noms, numéros de téléphone, adresses e-mail, détails de livraison et historiques de commandes remontant à 2019, élargissant considérablement un incident qui concernait initialement 13 689 clients.

En août, SafePal a révélé une vulnérabilité de suivi des commandes ayant exposé des informations personnelles et d'achat appartenant à 39 798 clients. L'entreprise a attribué l'incident à un défaut d'autorisation dans un plug-in utilisé pour accéder aux informations d'expédition.

En janvier, les clients de Ledger ont été confrontés à des tentatives de phishing ciblées après une violation chez le partenaire e-commerce Global-e, des messages frauduleux circulant à l'aide de données clients exposées par ce prestataire tiers — une séquence similaire aux relances frauduleuses contre lesquelles Keystone met désormais en garde ses propres clients.

Bien que les causes techniques et les infrastructures affectées aient différé, chaque cas impliquait des informations clients détenues par des systèmes commerciaux ou de logistique.

Mise en garde contre les faux appareils de remplacement

Keystone a exhorté ses clients à ne pas cliquer sur les liens figurant dans des communications inattendues et à se rendre directement sur son site officiel pour obtenir de l'assistance. Le fabricant a spécifiquement mis en garde contre la saisie de phrases de récupération sur des appareils de remplacement non sollicités ou le partage de clés privées avec quiconque prétend représenter son service client.

Les clients ayant déjà communiqué une phrase de récupération à un escroc présumé doivent considérer ce portefeuille comme compromis et transférer les actifs restants vers un nouveau portefeuille généré avec une phrase de récupération inédite.

Keystal poursuit son enquête et prévoit de publier un rapport technique détaillé dans les prochains jours. L'entreprise n'a révélé aucune preuve de vol de crypto-monnaies résultant de la violation, ni confirmé de calendrier pour l'achèvement des notifications aux clients. Son rapport d'enquête à venir devrait apporter davantage de détails sur l'intrusion et les enregistrements clients concernés.