Keystone, fabricant de portefeuilles matériels Bitcoin qui conservent hors ligne les codes privés contrôlant les cryptomonnaies des utilisateurs, a déclaré lundi qu'il détruira 18 835 appareils invendus après qu'un attaquant a obtenu la clé d'usine permanente utilisée pour vérifier l'authenticité de ses produits. La société a également suspendu l'expédition de toutes les commandes non expédiées passées via son site web.

La faille, détectée le 20 octobre, a également affecté 25 964 enregistrements d'acheteurs de la boutique Shopify de Keystone, couvrant la période 2024 à 2026 et incluant des noms, coordonnées et adresses de livraison. Keystone précise que les phrases de récupération et les clés privées ne sont pas concernées, et que les appareils livrés avant le 20 octobre ne sont pas affectés.

Pour les acheteurs, le risque concret est un portefeuille contrefait qui semble neuf et passe la vérification d'authenticité de Keystone elle-même, car l'attaquant a obtenu la clé même sur laquelle repose cette vérification. Un criminel pourrait ainsi vendre un tel appareil à quelqu'un qui y transférerait de véritables économies.

« Si elle est exposée, un attaquant pourrait l'utiliser pour produire des appareils contrefaits qui passent les contrôles d'authentification », a déclaré Keystone dans son communiqué. « Ces appareils pourraient ensuite être vendus ou expédiés à des clients, qui pourraient les utiliser sans le savoir comme des produits authentiques, ce qui pourrait entraîner un vol d'actifs. »

Keystone appelle l'identifiant compromis une clé WebAuth, un code secret inscrit dans chaque appareil en usine permettant à une page du site web de la société de confirmer que le matériel est authentique. Elle ne peut être ni effacée ni réécrite, c'est pourquoi les 18 835 unités en stock qui la contiennent sont détruites plutôt que vendues — et pourquoi les futurs appareils devront être conçus autour d'une nouvelle clé.

Keystone avait d'abord indiqué samedi qu'un tiers avait obtenu des informations de livraison de clients. Le communiqué de lundi a ajouté la clé volée et le chiffre de 25 964 enregistrements d'acheteurs affectés, mais il ne précise ni qui est responsable ni quand l'attaquant a obtenu l'accès pour la première fois.

L'incident a affecté des enregistrements de la boutique Shopify de Keystone, la plateforme de commerce électronique qui gérait ses ventes en ligne. Keystone indique que 51 083 enregistrements d'acheteurs étaient concernés au total, mais que 25 119 avaient déjà fait l'objet d'une suppression des données personnelles, laissant 25 964 enregistrements de 2024 à 2026 contenant encore des noms, coordonnées, adresses de livraison et informations de commande. Les achats effectués via Amazon et d'autres canaux n'ont pas été affectés.

Une partie de ces données aurait déjà dû être supprimée, ce qui signifie qu'une partie de ce que la faille a exposé consistait en des enregistrements que Keystone s'était engagé à effacer. La politique de la société prévoyait d'effacer les enregistrements des acheteurs après 180 jours, mais l'outil automatisé de suppression en masse qu'elle avait conçu à cet effet n'a pas fonctionné de manière fiable.

« Certaines tâches de suppression ont échoué, et nous n'avons pas détecté ni corrigé ces échecs à temps, ce qui a entraîné la conservation de certaines informations personnelles au-delà de la période autorisée », a déclaré Keystone. « Nous n'avons pas honoré notre engagement d'effacer les données clients à temps, et nous assumons la responsabilité de cet échec. »

Les listes de clients sont un point faible récurrent pour les fabricants de portefeuilles matériels. La fuite de Ledger en 2020 a finalement touché environ 292 000 clients, et ceux qui ont ensuite reçu des courriels de phishing craignaient d'être ciblés par des cambriolages violents. Trezor et SafePal ont chacune signalé des fuites de données clients en août, affectant respectivement 13 689 clients et environ 39 798 clients.

— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026

Les noms et adresses ont leur importance en raison des attaques dites à la clé, dans lesquelles des criminels recourent à des menaces ou à la violence physique pour forcer les propriétaires à remettre leurs cryptomonnaies. Chainalysis a recensé 46 attaques violentes au premier semestre 2026, avec plus de 30 millions de dollars dérobés.

Le fabricant a également mis en garde contre des escrocs proposant des services de « migration d'actifs », de « vérification de portefeuille » ou d'« assistance à l'enquête ».

« Nous ne vous demanderons jamais de nous retourner votre appareil », a déclaré la société. « Toute personne vous contactant sous prétexte d'un « rappel » et vous demandant de lui expédier votre appareil doit être considérée comme un escroc. »

Les ventes sur le site web de Keystone passeront en précommandes jusqu'à ce que la production d'appareils dotés d'une nouvelle clé soit terminée, et la société indique avoir soumis des rapports aux autorités de l'UE, du Royaume-Uni et d'autres juridictions.

Keystone a réduit la durée de conservation des données clients de 180 à 90 jours et a demandé à Shopify le 24 octobre d'effacer toutes les données d'acheteurs arrivées à échéance, un processus assorti d'un délai d'attente de 10 jours. La société s'attend à ce que l'effacement soit terminé le 3 novembre, offrant ainsi aux clients concernés une date concrète à surveiller.