Keystone Hardware Wallet a confirmé que son site officiel a fait l'objet d'un accès non autorisé, exposant les noms, coordonnées, adresses de livraison et informations de commande de ses clients. L'entreprise a révélé la violation samedi après plusieurs jours d'examen de l'incident, indiquant que les informations de paiement et l'ensemble des identifiants de sécurité liés au portefeuille n'avaient pas été compromis.

L'accès non autorisé a eu lieu le 20 octobre. Selon Keystone, l'entreprise a détecté une activité suspecte, puis a examiné l'activité API avec Shopify, son prestataire e-commerce. Le 23 octobre, Keystone avait confirmé qu'un tiers avait obtenu des données clients. L'entreprise a ensuite bloqué l'accès non autorisé et corrigé la vulnérabilité sous-jacente.

La confirmation a été relayée sur X par le média blockchain Wu Blockchain :

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access

Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

Quelles données ont été exposées

Selon la communication de l'entreprise, les informations exposées comprennent les noms, les coordonnées et les adresses de livraison des clients, ainsi que les détails des commandes, tels que les articles achetés et leurs prix. Keystone a précisé que les informations de carte bancaire et bancaires n'avaient pas été compromises, et que les mots de passe des portefeuilles, les clés privées et les phrases de récupération n'étaient pas non plus touchés. Ces identifiants sont ceux qui contrôlent en dernier ressort l'accès aux fonds en autodétention, ce qui explique pourquoi la communication a soigneusement distingué les dossiers de commande de la sécurité du portefeuille.

L'entreprise n'a pas précisé combien de clients étaient concernés, ni exactement comment l'accès non autorisé s'est produit. Keystone a ouvert une enquête, qualifiée d'approfondie, et informe les clients concernés par e-mail.

Mises en garde contre les arnaques

Keystone a averti que des escrocs pourraient exploiter l'incident en se faisant passer pour des représentants de l'entreprise, en proposant potentiellement des remboursements, des appareils de remplacement ou de l'aide pour les commandes et adresses de livraison. L'entreprise a exhorté les clients à éviter les liens inattendus et a réitéré qu'elle ne demande jamais les phrases de récupération ni les clés privées. Il a également été conseillé aux clients de ne pas saisir de phrase de récupération sur des appareils qu'ils n'ont pas commandés. Les dossiers exposés indiquant précisément qui a commandé un appareil et où il a été livré, ces mises en garde présentent l'incident avant tout comme un risque de ciblage des clients plutôt que comme une menace directe sur les fonds stockés.

Un jour avant la confirmation officielle, un utilisateur X connu sous le nom d'OG Degen a signalé avoir reçu un appel provenant d'un numéro usurpé du SPVM de Montréal, indiquant que l'appelant avait tenté de le manipuler par ingénierie sociale. Le fondateur de Binance, CZ, a également commenté la violation sur X.

À propos de Keystone

Keystone est une marque de portefeuilles basée à Hong Kong, connue son approche de signature de transactions hors ligne (air-gapped) via codes QR, une conception qui maintient les clés privées hors ligne sans USB, Bluetooth ni Wi-Fi. Issue d'une orientation initiale centrée sur Bitcoin, l'entreprise est devenue un portefeuille multichaîne prenant en charge Ethereum, Solana, Polkadot et Cosmos via des intégrations avec des portefeuilles logiciels tels que MetaMask, Solflare, Keplr, Rabby et OKX Wallet.

Des incidents de sécurité à l'échelle du secteur en 2026

La communication de Keystone s'ajoute à une série de problèmes de sécurité touchant les fabricants de portefeuilles matériels en 2026. Trezor a révélé en août une fuite de données clients chez son prestataire logistique, ShipMonk. Ledger a confirmé plus tôt ce mois-ci que des criminels avaient modifié de véritables portefeuilles pour voler des phrases de récupération et les revendre via des revendeurs d'Asie du Sud-Est. Coldcard a été confronté à un bug lié à une génération de graines faible, et Safepal a révélé une fuite d'informations clients. Pris ensemble, ces incidents montrent que les dossiers clients liés aux commandes et à la logistique — des boutiques e-commerce aux partenaires logistiques — sont devenus un point d'exposition récurrent pour les fabricants de portefeuilles matériels cette année.

Et maintenant

Keystone a indiqué qu'elle prévoit de publier un rapport détaillé sur son enquête dans les prochains jours. L'entreprise a publié sa communication initiale sur X samedi à 13 h 59 HE. D'ici là, les clients concernés peuvent s'attendre à des notifications par e-mail, et les conseils de l'entreprise restent de considérer toute sollicitation non sollicitée — en particulier toute demande de phrase de récupération — comme un signal d'alerte.

Source : CoinCentral