Keystone : l’intrus de la boutique en ligne a aussi volé la clé d’authentification des appareils, 18 835 portefeuilles seront détruits

Mise à jour du 26 octobre 2026, 18 h UTC : Keystone indique que l’intrus a aussi dérobé la clé WebAuth qui sert à prouver l’authenticité de ses appareils, après être entré par une faille d’un outil tiers de surveillance des données utilisé par son site. Dans un communiqué publié sur X à 14 h 02 UTC, l’entreprise recense 25 964 fiches d’acheteurs contenant des données personnelles et 12 873 paniers non payés, et annonce la destruction de 18 835 portefeuilles en stock ainsi que le passage de la production à une nouvelle clé. Selon Keystone, ni les phrases de récupération ni les clés privées ne sont concernées et les propriétaires n’ont pas à déplacer leurs fonds à cause de l’incident ; les appareils reçus après le 20 octobre doivent toutefois faire l’objet d’une vérification supplémentaire auprès du support.

Keystone, le fabricant hongkongais du portefeuille matériel Keystone, qui fonctionne sans aucune connexion directe (« air-gapped »), affirme qu’un intrus s’est introduit sur son site officiel et a emporté les noms, les coordonnées, les adresses de livraison et le détail des commandes de ses clients, jusqu’aux articles achetés et aux prix payés. L’entreprise a révélé cette fuite de données Keystone dans un message publié sur X le samedi 24 octobre à 17 h 59 UTC. Elle y indique avoir confirmé le vol la veille, en vérifiant l’activité de l’API avec Shopify, la plateforme qui fait tourner sa boutique en ligne.

Le message du 24 octobre ne donnait ni le nombre de clients touchés ni la manière dont l’intrus était entré. Le second communiqué de Keystone, le 26 octobre, apporte les deux, et ajoute qu’une clé d’authentification des appareils a elle aussi été volée. Les deux textes affirment que les phrases de récupération, les clés privées et les données de paiement bancaire n’ont pas été exposées, et aucune perte de fonds n’a été signalée. Le danger pour les acheteurs, c’est une arnaque bâtie sur leur propre nom et leur propre adresse, ou un faux appareil vendu comme authentique, pas un portefeuille vidé par la fuite elle-même.

Bitcoin.com News, Glitchwire, Coin Edition et Crypto Briefing, entre autres, ont relayé le premier message le 24 octobre ; leurs articles reprennent ce que Keystone a dit et ne confirment pas la fuite de façon indépendante. Le communiqué du 26 octobre, un article publié sur le compte X de Keystone à 14 h 02 UTC, a été repris une heure plus tard par crypto.news et le même jour par DeFiprime. Ses chiffres sont ceux de l’entreprise.

Chronologie de Keystone : accès détecté le 20 octobre, vol confirmé le 23

« Nous vous devons des excuses », commence le message. « Le 20 octobre, nous avons détecté un accès non autorisé à notre site officiel. » Le 23 octobre, après avoir vérifié l’activité de l’API avec Shopify, Keystone dit avoir confirmé qu’un tiers avait obtenu des informations d’expédition de ses clients. Selon Glitchwire, Keystone s’appuie sur Shopify pour son commerce en ligne.

Depuis, d’après l’entreprise elle-même, elle a bloqué l’accès, corrigé la vulnérabilité, ouvert une enquête et commencé à écrire aux clients concernés par e-mail. « Un rapport détaillé arrive bientôt », indique le message, sans aucune date. Coin Edition rapporte qu’une réponse ultérieure de l’entreprise parlait des « prochains jours ». Le récit complet est arrivé deux jours plus tard, le 26 octobre.

L’avis vit sur X, pas sur le site de Keystone. Lorsque Coindaro a vérifié le 25 octobre, la page d’accueil de keyst.one ne comportait aucun avis sur l’incident et l’adresse keyst.one/blog renvoyait une erreur 404. Bitcoin.com News a publié son article à 20 h 30 UTC le 24 octobre, deux heures et demie après le message. Le second communiqué n’a lui aussi été publié que sur X.

Ce qui a fuité de la boutique Keystone, et ce que Keystone dit ne pas avoir perdu

Le message énumère quatre types de données : les noms, les coordonnées, les adresses de livraison et le détail des commandes, avec les articles et les prix. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il ne précise pas ce que recouvre le mot « coordonnées ». Un dossier d’expédition comporte en général un numéro de téléphone et une adresse e-mail, mais Keystone ne l’a pas dit.

Réunies, ces informations forment un fichier d’acheteurs. Celui qui le détient connaît le nom d’une personne et sa rue, sait comment la joindre et sait qu’elle a payé un appareil conçu pour conserver des cryptomonnaies. Il ne sait rien de ce que contient le portefeuille. En revanche, il sait où envoyer la lettre ou le coursier.

Keystone liste ce qui n’a pas été exposé : données de carte ou coordonnées bancaires, phrases de récupération, clés privées et mots de passe de portefeuille. C’est la déclaration de l’entreprise, et aucun tiers ne l’a vérifiée. Elle cadre avec la conception du produit. Les appareils Keystone dialoguent avec un téléphone ou un ordinateur par des QR codes affichés sur leur écran, et non par USB, Bluetooth ou Wi-Fi, relève Glitchwire. Une brèche dans la boutique n’atteint pas l’endroit où les transactions sont signées.

Bitcoin.com News le formule ainsi : les défenses cryptographiques auraient « tenu », selon les informations disponibles. Le risque est désormais l’ingénierie sociale, c’est-à-dire quelqu’un qui persuade un propriétaire de livrer sa phrase de récupération ou d’approuver un transfert.

Le décompte de Keystone : 25 964 fiches d’acheteurs contenaient encore des données personnelles

Le communiqué du 26 octobre chiffre la fuite pour la première fois. L’intrusion a porté sur 51 083 fiches d’acheteurs issues d’achats sur la boutique Shopify du site de Keystone, des fiches stockées et gérées par Shopify. Pour 25 119 d’entre elles, les données personnelles avaient déjà été effacées avant l’attaque, en application de la politique de conservation de Keystone, et il ne restait que des commandes anonymisées. Les 25 964 autres contenaient encore noms, coordonnées, adresses de livraison et détails de commande, pour des achats effectués de 2024 à 2026. Les commandes passées sur Amazon et par les autres canaux de vente ne sont pas touchées, selon Keystone.

Un second ensemble n’avait pas du tout été évoqué le 24 octobre : 12 873 paniers dans lesquels un acheteur avait saisi un nom, des coordonnées et une adresse de livraison sans jamais payer. Keystone reconnaît que certaines de ces données peuvent être incomplètes ou fausses, mais traite ces personnes comme concernées et les préviendra par e-mail.

Si des données vieilles de deux ans traînaient encore, c’est qu’un nettoyage a échoué. La règle de Keystone prévoyait d’effacer les fiches d’acheteurs au bout de 180 jours. Comme l’interface de Shopify traite les effacements fiche par fiche, l’entreprise avait conçu son propre outil d’effacement en masse, qui a échoué sur une partie des tâches sans que personne ne s’en aperçoive. « Nous n’avons pas tenu notre engagement d’effacer les données des clients à temps, et nous en assumons la responsabilité », écrit Keystone.

La durée de conservation passe désormais à 90 jours. Le 24 octobre, Keystone a demandé à Shopify d’effacer toutes les données personnelles d’acheteurs de plus de 90 jours et celles des paniers de plus de 30 jours. Shopify impose un délai de 10 jours : l’effacement devrait donc être achevé le 3 novembre, et l’entreprise promet d’en publier le résultat. La fuite de Trezor en 2026 avait une origine voisine, des données de commandes anciennes que son prestataire logistique n’avait pas supprimées (voir plus bas).

Comment l’intrus est entré : un outil tiers de surveillance, selon Keystone

Le 24 octobre, Keystone ne parlait que d’une « vulnérabilité » corrigée et d’une activité d’API vérifiée avec Shopify. Le communiqué du 26 octobre va plus loin. Ses systèmes de surveillance ont repéré un accès inhabituel le 20 octobre, et l’attaquant avait exploité une faille dans un outil tiers de surveillance des données utilisé par le site pour élever ses privilèges. Keystone dit avoir désactivé le jour même les fonctions sensibles du site et bloqué les points d’accès. Elle ne nomme pas l’outil et ne dit pas s’il s’agissait d’une application Shopify. Elle n’explique pas non plus comment un outil de la boutique en ligne a pu mener à une clé d’appareil, une lacune que relève aussi DeFiprime. Coindaro n’a trouvé aucune déclaration de Shopify sur l’incident.

La durée de l’accès reste elle aussi floue. Keystone l’a détecté le 20 octobre et a confirmé le vol de données le 23, mais n’a pas dit à quelle date l’intrus était entré la première fois. Aucun groupe n’a revendiqué l’attaque et aucune demande de rançon n’a été signalée.

Le premier message de Keystone ne mentionnait aucune autorité de protection des données. Le communiqué du 26 octobre affirme que des signalements « ont déjà été déposés dans l’UE, au Royaume-Uni et dans d’autres juridictions », sans nommer les autorités, et Coindaro n’a trouvé aucun avis public de l’une d’elles. En France, c’est la CNIL qui applique le règlement. La règle générale, posée par l’article 33 du Règlement général sur la protection des données (RGPD) de l’Union européenne, veut qu’une entreprise responsable de données personnelles notifie une violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. L’article 34 y ajoute l’obligation d’informer les personnes concernées lorsque le risque pour elles est élevé. Keystone n’a pas dit combien de personnes touchées vivent dans l’Union européenne, ni si elle y dispose d’un représentant. Les acheteurs en France doivent s’attendre à des courriers, SMS ou appels qui citent leur nom et leur adresse.

Clé WebAuth de Keystone volée : ce qu’elle permet, et ce qu’elle ne permet pas

Pour les propriétaires, la clé est l’élément le plus sérieux de ces nouvelles révélations. Keystone indique que l’attaquant a aussi obtenu la clé WebAuth qui lui sert à vérifier, via sa page d’authentification des appareils, qu’un appareil est authentique. Cette clé est inscrite dans chaque appareil en usine et ne peut être ni effacée ni réécrite. Elle ne joue aucun rôle dans la génération des phrases de récupération, la dérivation des clés privées ou la signature des transactions, selon l’entreprise.

C’est pourquoi les fonds conservés sur un Keystone authentique ne sont pas menacés par ce vol, d’après la société. Le danger se situe plus loin, dans la chaîne d’approvisionnement. « Si elle est exposée, un attaquant pourrait s’en servir pour produire des appareils contrefaits qui passent les contrôles d’authentification », écrit Keystone, en ajoutant que ces faux pourraient être vendus ou expédiés à des acheteurs et mener au vol de leurs actifs. Coindaro n’a trouvé à ce jour aucun signalement de faux Keystone.

La réponse de Keystone se joue à l’usine. La production abandonne immédiatement l’ancienne clé et les nouveaux appareils en reçoivent une nouvelle. Les 18 835 appareils en stock qui portent l’ancienne clé seront détruits au lieu d’être vendus. L’expédition de toutes les commandes non encore parties du site officiel est suspendue, et les ventes passent en précommande jusqu’à ce que les appareils dotés de la nouvelle clé soient prêts ; aucune date n’est donnée. Keystone ne demandera à personne de renvoyer un appareil, et toute personne qui en réclame un au nom d’un « rappel » doit être considérée comme un escroc.

Un point reste en suspens : quand Coindaro a consulté la page d’authentification le 26 octobre, elle ne portait aucun avis sur l’incident, et sa FAQ affirmait toujours qu’un résultat positif confirme l’authenticité du matériel et du micrologiciel. Pour les appareils à l’ancienne clé reçus après le 20 octobre, le communiqué de Keystone dit précisément que cela ne suffit plus.

Phishing Keystone : les arnaques que l’entreprise demande à ses clients d’attendre

Téléphone, SMS, e-mail et courrier postal : ce sont les canaux que cite Keystone. Elle cite aussi les histoires : remboursements, appareils de remplacement, « corrections » d’une commande ou d’une adresse de livraison. « Rien de tout cela ne vient de nous », écrit Keystone. Elle assure qu’elle ne demandera jamais une phrase de récupération ou une clé privée, invite les propriétaires à taper eux-mêmes keyst.one dans le navigateur plutôt que de cliquer sur les liens de messages inattendus, et à écrire à [email protected] si quelque chose leur paraît suspect.

Le communiqué du 26 octobre ajoute d’autres scénarios à surveiller : des appels ou messages proposant une « migration des actifs », une « vérification du portefeuille » ou une « aide à l’enquête », et le faux rappel décrit plus haut. Keystone demande de ne pas y croire et de ne rien faire dans la précipitation avec son portefeuille.

L’appareil de remplacement mérite la plus grande méfiance. Un portefeuille qui arrive sans qu’on l’ait demandé peut avoir été piégé ou livré avec une phrase de récupération déjà imprimée, ce qui signifie que celui qui l’a imprimée détient les clés. Coindaro a raconté ce mois-ci l’affaire des appareils Ledger piégés vendus par un revendeur, puis celle d’une fausse alerte envoyée par l’application même de Ngrave, qui a vidé au moins 2,56 millions de dollars d’environ 70 portefeuilles.

Les QR codes sont un cas particulier pour les propriétaires de Keystone, car les scanner est la manière dont le portefeuille fonctionne. Les seuls codes qui ont leur place dans ce geste sont ceux qu’affichent leur propre appareil et leur propre application compagnon, jamais un code imprimé sur une lettre ou envoyé dans un message.

Ledger 2020, Trezor 2024 et 2026 : les fuites de données des hardware wallets poursuivent les acheteurs pendant des années

Keystone est le dernier fabricant de portefeuilles matériels à perdre son fichier clients, et les cas précédents montrent combien de temps de telles données restent exploitées. Le parallèle le plus proche est Ledger, le fabricant français, dont le propre récit figure dans un message daté du 13 janvier 2021.

Le 14 juillet 2020, un chercheur a signalé à Ledger, par son programme de primes aux bogues, que sa base de données de commerce en ligne et de marketing avait été atteinte avec la clé d’API d’un tiers. Ledger a refermé la brèche le jour même, a informé l’autorité française de protection des données, la CNIL, le 17 juillet et a écrit à ses clients le 29 juillet. Cette première fuite portait sur plus d’un million d’adresses e-mail et sur environ 9 500 dossiers détaillés comprenant nom, adresse, numéro de téléphone et produits commandés.

Le 20 décembre 2020, les bases complètes sont apparues sur un forum : environ 272 000 enregistrements avec noms, adresses postales et numéros de téléphone, plus le million et plus d’e-mails. Le 23 décembre, Shopify a signalé à Ledger un incident distinct, dans lequel un ou plusieurs membres indélicats de l’équipe d’assistance de Shopify avaient exporté les fichiers clients de marchands en avril et en juin 2020. Environ 292 000 clients de Ledger figuraient dans cet export. Ledger indique que cet ensemble ressemblait à 93 % aux données déjà exposées et contenait environ 20 000 nouveaux enregistrements. En janvier 2021, elle avait fait fermer 216 sites de phishing, et disait que le FBI et la GRC du Canada enquêtaient.

Le cas Ledger de 2020 et celui de Keystone en 2026 ont deux traits communs : une boutique tenue par Shopify et des données d’expédition volées.

Trezor a suivi en janvier 2024. Son fabricant a déclaré qu’un portail tiers de tickets d’assistance avait été consulté sans autorisation, exposant les noms ou pseudonymes et les adresses e-mail d’environ 66 000 utilisateurs, selon BleepingComputer, qui précise que les données ont ensuite servi à des tentatives de phishing visant les phrases de récupération des portefeuilles. Les adresses postales ne faisaient pas partie de cet ensemble.

En 2026, Trezor a été touché par l’intermédiaire de son partenaire logistique, ShipMonk. BleepingComputer a rapporté le 7 septembre que la première annonce, le 13 août, concernait près de 14 000 clients au Brésil, en Colombie, en Italie, au Portugal, en Suède et au Royaume-Uni ayant commandé entre le 10 mai et le 8 août 2026. Une mise à jour y a ajouté 67 000 clients américains dont les commandes datent de novembre 2019 à août 2021, soit 81 000 au total. Trezor affirme que ShipMonk n’avait pas supprimé ces données anciennes malgré des assurances écrites. Les e-mails de notification que BleepingComputer a consultés mettent en cause une vulnérabilité de l’outil d’analyse Metabase ; ShipMonk n’a pas expliqué comment elle avait été piratée.

Des adresses divulguées pourraient aussi expliquer les courriers. Decrypt a rapporté le 17 février 2026 que des propriétaires recevaient des lettres imprimées, aux couleurs de Trezor ou de Ledger et ornées d’hologrammes, leur demandant de scanner un QR code pour un « Authentication Check » ou un « Transaction Check » obligatoire. Le chercheur en cybersécurité Dmitry Smilyanets a publié sur X, le 12 février, une lettre à l’en-tête de Trezor portant un cachet postal américain ; des lettres au nom de Ledger circulaient depuis octobre 2025. Selon Decrypt, les expéditeurs puisent probablement dans des années de données clients divulguées, un lien que personne n’a prouvé. Aucune lettre de ce type n’a été signalée à ce jour par des acheteurs de Keystone.

Les propriétaires de Coldcard, eux, sont allés devant la justice : lisez notre article sur l’action collective de Toronto contre Coinkite.

Mon portefeuille Keystone est-il en sécurité ? Ce que les propriétaires peuvent faire dès maintenant

Keystone affirme que les propriétaires n’ont pas à transférer leurs actifs « uniquement en raison de cet incident », puisque ni les phrases de récupération ni les clés privées n’en font partie. Cela vaut tant que la phrase n’a jamais quitté l’appareil et sa sauvegarde sur papier ou sur métal, et tant que l’appareil est authentique. La première chose à faire dépend de la date de réception du portefeuille.

• Livré avant le 20 octobre 2026 : selon Keystone, son authentification n’est pas touchée. Lancez la vérification sur keyst.one/authentication/ ; si l’appareil la passe, il peut être utilisé normalement.
• Reçu après le 20 octobre avec l’ancienne clé : même s’il passe la vérification en ligne, ne l’initialisez pas et n’y placez pas de fonds pour l’instant. Suivez les instructions de la page d’authentification pour contacter le support et obtenir une vérification supplémentaire, et n’utilisez l’appareil qu’une fois son authenticité confirmée par Keystone. L’entreprise ne dit pas comment savoir quelle clé porte un appareil, ni en quoi consiste ce contrôle supplémentaire.
• Si la vérification échoue, cessez d’utiliser l’appareil, n’y saisissez jamais de phrase de récupération, gardez une capture du résultat et écrivez à [email protected], comme le conseille la page d’authentification.
• N’envoyez votre appareil à personne. Keystone dit ne procéder à aucun rappel.
• Une commande passée sur keyst.one et pas encore expédiée reste en attente jusqu’à la fabrication des appareils à la nouvelle clé ; Keystone n’a donné aucune date d’expédition.

Les autres étapes visent à éviter qu’on vous persuade de donner votre phrase.

• Lisez l’e-mail de notification de Keystone si vous en recevez un, mais ne contactez l’entreprise qu’en tapant keyst.one ou en écrivant à [email protected], jamais par les liens ou les numéros d’un message.
• Considérez comme hostile tout remboursement, toute offre de remplacement ou tout « problème de commande » qui vous parvient par téléphone, SMS, e-mail ou courrier, tant que Keystone ne l’a pas confirmé par ces canaux.
• Refusez un appareil que vous n’avez pas commandé. Le message de Keystone dit de ne jamais y saisir votre phrase de récupération, et un portefeuille qui arrive avec une phrase déjà écrite doit aller à la poubelle.
• Ne tapez, ne photographiez et ne lisez à voix haute jamais votre phrase de récupération, quel que soit celui qui la demande. Keystone dit qu’elle ne le fera jamais.
• Ne scannez que les QR codes affichés par votre propre Keystone et son application compagnon, jamais un code imprimé sur une lettre ou envoyé par message.
• Si vous avez déjà saisi votre phrase sur un site ou l’avez donnée à un interlocuteur au téléphone, créez un nouveau portefeuille avec une nouvelle phrase et déplacez-y les fonds.

Notre guide pour conserver une phrase de récupération en sécurité détaille les sauvegardes et la conduite à tenir si une phrase est exposée, et notre guide pour éviter les arnaques crypto recense les scénarios courants et les lieux où les signaler. Attendez-vous à ce que les tentatives durent : les données de Ledger de 2020 alimentaient encore le phishing des mois plus tard, et les lettres signalées en 2026 ont atteint des propriétaires d’appareils Ledger comme Trezor.

La suite : effacement des données attendu le 3 novembre, pas de date pour les nouveaux appareils

Le rapport détaillé promis le 24 octobre est arrivé deux jours plus tard, et il renvoie plusieurs étapes à plus tard. L’effacement chez Shopify devrait être achevé le 3 novembre, et Keystone dit qu’elle en confirmera le résultat. Une page permettant aux acheteurs de vérifier si leurs données ont été exposées, et une autre indiquant si elles ont été effacées, sont promises sans date, tout comme les e-mails individuels, un audit de sécurité et la reprise des expéditions.

Restent inconnus : le nom de l’outil de surveillance, la façon dont il a mené à la clé des appareils, les modèles ou lots qui portent l’ancienne clé, le nombre de ces appareils arrivés chez des acheteurs après le 20 octobre et la nature de la vérification supplémentaire. Le dossier public tient désormais en quatre dates : accès détecté le 20 octobre, vol confirmé le 23 octobre, première révélation le 24 octobre, communiqué complet le 26 octobre.