Le fabricant de portefeuilles matériels Keystone a exhorté les utilisateurs à mettre à jour son application Nexus en version 1.3.7 après qu'une cyberattaque a perturbé certains services de l'application. Annoncée le vendredi 6 novembre, il s'agit de la troisième divulgation de sécurité publiée par la société en environ deux semaines, après une violation de données clients sur sa boutique en ligne et le vol d'une clé servant à vérifier l'authenticité de ses appareils.

L'attaque contre l'application Nexus et le correctif v1.3.7

Dans un message sur X, Keystone a indiqué que certains services de l'application Nexus avaient été compromis lors d'une cyberattaque et qu'un certain nombre d'utilisateurs n'avaient pas pu utiliser l'application pendant un certain temps. La société a déclaré que son équipe avait réagi à l'incident et renforcé la sécurité de ses serveurs. Le communiqué de Keystone n'a pas précisé quels services étaient touchés ni attribué l'attaque.

À l'issue de son enquête, Keystone a écrit qu'elle « n'avait trouvé aucune preuve que les actifs des utilisateurs ou leurs informations personnelles avaient été touchés ». La société s'est excusée pour cette interruption et a demandé aux utilisateurs de mettre à jour l'application en v1.3.7. Elle a également conseillé aux utilisateurs de vérifier que toute application téléchargée mentionne « Yanssie HK Limited » comme développeur, ajoutant qu'une application ne listant pas ce développeur ne provient pas de Keystone.

Une violation de la boutique exposant 25 964 dossiers d'acheteurs

La première divulgation concernait un intrus ayant accédé à la boutique en ligne de Keystone propulsée par Shopify. Selon le rapport antérieur de Cryptopolitan, l'accès non autorisé a été détecté le 20 octobre, et le 23 octobre la société a confirmé qu'un tiers avait extrait les données d'expédition des clients, rendant l'information publique le lendemain.

Les dossiers volés contenaient des noms, des coordonnées, des adresses d'expédition et des informations de commande, notamment les appareils achetés par les clients. La société a précisé que les cartes de paiement, les données bancaires, les phrases de récupération et les clés privées n'avaient pas été exposées.

Il a été rapporté que 25 964 dossiers d'acheteurs, portant sur des achats effectués entre 2024 et 2026, figuraient parmi les données volées. Keystone a également recencé par précaution 12 873 enregistrements de paiement non finalisés.

Les adresses du domicile faisant partie de la fuite, la chercheuse en sécurité Taylor Monahan a souligné que cela pourrait exposer les détenteurs à des risques de « wrench attacks » — des menaces physiques utilisées pour forcer les propriétaires à remettre leur crypto. La plateforme de sécurité crypto Certik a recensé 52 attaques de ce type au premier semestre 2026, contre 39 incidents enregistrés l'année précédente.

18 835 portefeuilles destinés à la destruction

Quelques jours après la divulgation du vol de données utilisateurs, Keystone a de nouveau fait parler d'elle en indiquant que le même attaquant responsable de la première violation avait également volé la clé WebAuth que ses appareils utilisent pour prouver leur authenticité. L'attaquant aurait exploité une faille dans un outil de surveillance tiers présent sur le site web de la société pour élever ses privilèges, puis s'est emparé à la fois des données clients et de la clé.

Le problème est important car la clé est gravée dans chaque appareil lors de la fabrication et ne peut être réécrite. Quiconque détient la clé pourrait fabriquer un faux appareil capable de passer la vérification d'authenticité de Keystone elle-même. En réponse, Keystone a décidé de détruire les 18 835 unités invendues portant la clé compromise.

La société a déclaré qu'un portefeuille livré avant le 20 octobre et passant la vérification est authentique. Pour les unités dotées de l'ancienne clé reçues après cette date, elle « ne peut pas totalement écarter la possibilité qu'il s'agisse d'une contrefaçon », et elle a demandé à leurs propriétaires de contacter le support avant utilisation. Aucun appareil contrefait ni aucun vol n'ont été signalés à ce jour.

Conservation réduite à 90 jours après l'échec d'un outil de suppression

Keystone avait annoncé qu'elle effaçait les données d'expédition 180 jours après une commande, mais des clients ont signalé avoir reçu des avis de violation concernant des achats vieux de plus de deux ans, comme l'a rapporté Cryptopolitan. L'outil d'effacement automatisé de la société était tombé en panne, laissant les anciens enregistrements en place.

Keystone a ensuite réduit sa durée de conservation à 90 jours et demandé à Shopify de supprimer les données personnelles plus anciennes, les enregistrements en retard devant disparaître d'ici le 3 novembre. Son concurrent OneKey a également plafonné sa propre durée de conservation à 30 jours à la suite de l'incident de Keystone.

Les projets crypto ont connu un parcours difficile en matière de cyberattaques en 2026, et les fournisseurs de portefeuilles matériels n'ont pas été épargnés. En août, une violation de données chez ShipMonk, l'un des partenaires logistiques de Trezor, a touché environ 81 000 clients. SafePal a exposé environ 39 798 utilisateurs via une faille de suivi des commandes, et Ledger a découvert des puces cachées dans des appareils revendus, que des chercheurs on-chain ont liées à des pertes supérieures à 86 millions de dollars. La série de divulgations de Keystone sur deux semaines illustre cette ampleur, les incidents touchant sa boutique en ligne, ses outils web, son stock d'appareils invendus et ses services applicatifs.