Keystone Hardware Wallet a confirmé qu'un accès non autorisé à son site officiel a exposé des noms de clients, adresses e-mail, numéros de téléphone, adresses de livraison et historiques d'achats. L'intrusion a été détectée le 20 octobre 2026 et confirmée trois jours plus tard, le 23 octobre, après un examen de l'activité de l'interface de programmation (API) de Shopify, selon une divulgation du 24 octobre du fabricant de portefeuilles matériels.

Dans cette divulgation, l'entreprise a indiqué qu'un tiers non autorisé avait obtenu des informations de commande. Keystone a bloqué l'accès, corrigé la vulnérabilité identifiée et ouvert une enquête. L'entreprise n'a pas identifié l'attaquant, et le nombre de clients concernés reste non divulgué. Aucun décompte des transactions compromises n'a accompagné l'annonce.

Wu Blockchain, un compte d'actualités du secteur crypto, a relayé la divulgation sur X :

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Des historiques de commandes exposés, les identifiants des portefeuilles épargnés

L'incident a exposé des enregistrements liés à des achats de dispositifs de stockage de cryptomonnaies plutôt que des informations conservées à l'intérieur des portefeuilles eux-mêmes. Les enregistrements compromis listingaient les produits achetés par les clients et les prix payés, ainsi que leurs identités et lieux de livraison. Les informations concernées ont donc relié des achats de dispositifs à des clients identifiables, mais aucun compromission des identifiants de portefeuille n'a été signalée.

Les portefeuilles matériels étant des biens physiques qui doivent être expédiés, leurs fabricants détiennent la même catégorie de données de vente au détail que n'importe quel commerçant en ligne — une caractéristique structurelle du marché qui place les données d'identité des clients dans les systèmes de boutique, quel que soit le niveau de sécurité des dispositifs eux-mêmes.

Keystone a déclaré que les numéros de cartes de paiement, les coordonnées bancaires, les mots de passe de portefeuille, les clés privées et les phrases de récupération n'avaient pas été exposés. Ses portefeuilles effectuent la signature des transactions hors ligne, communiquant par code QR plutôt que par connexions directes à des appareils connectés à Internet.

L'infrastructure Shopify laisse des questions en suspens

Shopify exploite la boutique en ligne du fabricant et traite ses informations de commande, selon la politique de confidentialité de l'entreprise. Cette politique précise également que les enregistrements sont supprimés après 180 jours lorsqu'un client n'a pas passé une nouvelle commande. Cette clause de suppression n'identifie pas quels achats historiques ont été inclus dans cette fuite, et la divulgation n'a pas précisé les dates d'achat concernées.

La divulgation n'a pas non plus établi la durée pendant laquelle l'accès non autorisé est resté possible. Les enquêteurs n'ont pas publiquement attribué l'intrusion ni expliqué la méthode exacte utilisée pour pénétrer le site. Les clients concernés étaient informés par e-mail, et l'entreprise a indiqué qu'un rapport d'incident plus détaillé suivrait, sans toutefois fournir de date de publication.

Avertissements de phishing aux clients

Malgré les assurances concernant la sécurité des portefeuilles, Keystone a averti clients de se méfier des offres de remboursement frauduleuses, des stratagèmes de remplacement de dispositif et des messages prétendant fournir une assistance relative aux commandes. De telles approches peuvent apparaître par e-mail, par téléphone ou par SMS. Chacune implique des affirmations concernant la commande ou le dispositif d'un client — les catégories d'informations contenues dans les enregistrements exposés. Il a été conseillé aux clients de ne pas partager leurs phrases de récupération ou clés privées, de ne pas saisir leurs phrases de récupération dans des dispositifs de remplacement inattendus et de ne pas suivre de liens suspects. L'entreprise a exhorté les clients à vérifier toute communication via ses canaux officiels.

S'inscrivant dans une tendance plus large chez les vendeurs de portefeuilles matériels

Cette fuite s'ajoute à une série d'incidents impliquant des données clients chez les vendeurs de portefeuilles matériels. En août, Trezor a divulgué une fuite chez son prestataire d'expédition ShipMonk, identifiant ensuite environ 67 000 clients américains supplémentaires concernés. SafePal a également divulgué une faille d'autorisation de suivi de commandes affectant 39 798 clients, dans laquelle des données personnelles et d'achat ont été exposées sans compromission directe des identifiants de portefeuille.

Pris ensemble, ces incidents touchent différentes couches de la chaîne de vente au détail — une plateforme de boutique en ligne pour Keystone, un prestataire d'expédition pour Trezor et une fonction de suivi de commandes pour SafePal. Dans tous ces incidents, les informations exposées se trouvaient dans des systèmes de commande ou de traitement des commandes plutôt que dans les mécanismes de signature des portefeuilles. Keystone n'a pas encore divulgué publiquement le nombre de clients concernés, la méthode d'accès sous-jacente ni la durée d'exposition. Le rapport d'incident plus détaillé promis, pour lequel aucune date n'a été donnée, constitue la voie annoncée pour obtenir ces réponses.