Le fabricant de portefeuilles matériels Keystone a retiré près de 19 000 appareils de son inventaire vendable et suspendu toutes les commandes non expédiées passées sur son site web, après qu'un attaquant a obtenu la clé cryptographique que la société utilise pour vérifier si un portefeuille Keystone est authentique. Ce vol fait peser le risque que du matériel contrefait puisse passer le contrôle d'authenticité de Keystone lui-même.

Dans un communiqué publié sur X, la société a indiqué que l'attaquant avait obtenu la clé WebAuth qui alimente sa page d'authentification des appareils — le mécanisme sur lequel s'appuient les acheteurs pour confirmer qu'un portefeuille a été expédié directement par le fabricant. Avec cette clé entre des mains extérieures, un attaquant sophistiqué pourrait théoriquement l'utiliser pour faire apparaître un appareil contrefait comme légitime aux yeux de quiconque suit la procédure de vérification standard.

Keystone détruit son inventaire et gèle les expéditions

Plutôt que d'expédier des stocks qu'elle ne pouvait plus authentifier de manière fiable, Keystone a déclaré qu'elle détruirait 18 835 appareils en inventaire portant l'ancienne clé WebAuth et qu'elle ne vendrait ni ne transmettrait aux clients aucune commande du site non expédiée.

La destruction de près de 19 000 unités est une mesure inhabituelle pour un fabricant de portefeuilles matériels et témoigne du sérieux avec lequel Keystone traite cette faille d'authentification. La société a souligné que la clé WebAuth n'est pas utilisée pour la génération de la phrase de récupération, la dérivation des clés privées ou la signature de transactions, ce qui signifie que les portefeuilles déjà entre les mains des utilisateurs restent fonctionnellement sûrs pour gérer des actifs crypto.

Keystone a également confirmé que les appareils livrés avant le 20 octobre ne sont pas concernés, selon Decrypt. La société a déclaré avoir déposé des rapports d'incident dans l'UE, au Royaume-Uni et dans d'autres juridictions, bien qu'il s'agisse de divulgations à l'initiative de l'entreprise et non de conclusions ou de mesures d'exécution de la part d'un régulateur. Pour l'heure, les divulgations connues sont celles de Keystone elle-même ; toute évaluation distincte de ces autorités constituerait un nouveau développement à surveiller.

Des données clients également impliquées dans l'incident

Au-delà du problème d'authentification des appareils, l'épisode a également exposé des informations personnelles liées à l'historique de commandes de Keystone. Decrypt a rapporté que 25 964 enregistrements d'acheteurs conservaient des informations personnelles issues d'achats effectués entre 2024 et 2026.

Unchained a rapporté un chiffre plus large : 51 083 enregistrements d'acheteurs Shopify étaient concernés au total, bien que 25 119 d'entre eux aient déjà vu leurs informations personnelles effacées. Les chiffres des deux médias se concilient arithmétiquement : 51 083 moins les 25 119 entrées effacées laissent 25 964 — soit exactement le nombre cité par Decrypt comme contenant encore des informations personnelles. En outre, 12 873 enregistrements de paiement non finalisés conservaient également des noms, coordonnées et données d'expédition.

Cette exposition de données ajoute une préoccupation distincte en matière de confidentialité au problème d'authenticité des appareils, d'autant plus que les clients des portefeuilles matériels sont souvent identifiables comme détenteurs de cryptomonnaies.

Pourquoi une clé d'authentification volée représente un risque de contrefaçon

Les portefeuilles matériels occupent un rôle de confiance spécifique dans l'écosystème crypto : ils sont censés être des appareils résistants aux falsifications, isolés du réseau, qui n'exposent jamais les clés privées à un ordinateur connecté à Internet. Cette promesse dépend en partie de la capacité des acheteurs à confirmer qu'ils ont reçu un matériel authentique et non un appareil intercepté ou échangé en cours de transit.

La clé WebAuth de la page d'authenticité de Keystone était précisément le mécanisme destiné à traiter ce risque de chaîne d'approvisionnement. Si un attaquant détient cette clé, tout appareil contrefait qu'il produirait pourrait générer un résultat de vérification d'apparence valide, laissant l'acheteur sans moyen fiable de distinguer un appareil légitime d'une contrefaçon via le contrôle standard. La réponse de Keystone — remplacer la clé et détruire les anciens stocks — est cohérente avec le traitement de ce chemin de vérification comme compromis plutôt que réparable en l'état.

Il convient de noter qu'aucun appareil Keystone contrefait confirmé n'a été signalé dans la couverture publique de cet incident. Les divulgations de la société décrivent le risque créé par la clé volée, et non la preuve que des appareils contrefaits seraient déjà parvenus à des acheteurs.

Ce que les utilisateurs de portefeuilles Keystone doivent faire maintenant

Pour les utilisateurs possédant déjà un appareil Keystone, la déclaration de la société selon laquelle la clé WebAuth ne joue aucun rôle dans la génération de la phrase de récupération, la dérivation des clés privées ou la signature de transactions constitue l'information la plus pertinente. Les portefeuilles existants entre les mains d'utilisateurs légitimes ne sont pas directement compromis par le vol de la clé d'authentification, et les phrases seed correctement conservées restent protégées. Pour toute recommandation spécifique au produit, la démarche prudente consiste à suivre directement les canaux officiels de Keystone plutôt que de se fier aux synthèses de tiers.

Pour les acheteurs ayant passé des commandes sur le web qui n'ont pas encore été expédiées, Keystone a indiqué que ces commandes sont suspendues. La société n'a pas encore détaillé publiquement de calendrier de remplacement ou de réexpédition ; les clients concernés doivent donc surveiller les communications officielles de Keystone pour des mises à jour. Toute personne envisageant d'acheter un appareil Keystone sur le marché secondaire ou auprès d'un revendeur doit faire preuve d'une prudence particulière jusqu'à ce que la société commercialise de nouveaux appareils portant une nouvelle clé d'authentification, car les appareils à l'ancienne clé en circulation secondaire ne peuvent pas être vérifiés via l'ancienne page d'authenticité.

L'incident rappelle que l'authentification de la chaîne d'approvisionnement constitue une surface d'attaque active pour les fabricants de portefeuilles matériels, en particulier à mesure que la valeur des actifs gérés en auto-conservation augmente. Le sentiment général du marché crypto se situe à Neutre (48) sur l'indice Fear and Greed, et le Bitcoin se négocie près de 80 646 $ — des indicateurs de l'ampleur de la population d'utilisateurs en auto-conservation détenant des avoirs significatifs, et du caractère directement financier des enjeux liés à un appareil compromis.

La question centrale pour Keystone désormais est de savoir à quelle vitesse elle pourra réémettre des appareils dotés d'une nouvelle clé WebAuth non compromise et offrir aux acheteurs un chemin d'authentification de remplacement digne de confiance. D'ici l'achèvement et la vérification indépendante de ce processus, le contrôle d'authenticité que la société a conçu pour protéger les clients contre le matériel contrefait reste indisponible.

Avertissement : cet article est fourni à titre purement informatif et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.