Keystone : une clé volée, 18 835 wallets détruits et 25 964 clients exposés
Fausse carte d’identité. Keystone a révélé le 24 octobre 2026 qu’un intrus a accédé à son site officiel et obtenu des données clients. Dans un second communiqué, publié le 26 octobre 2026, l’entreprise ajoute un détail plus gênant : la clé qui prouve l’authenticité de ses wallets figure parmi les éléments récupérés.
Les points clés de cet article :
- La clé WebAuth volée sert à vérifier qu’un Keystone est authentique sur le site officiel.
- 25 964 fiches d’achats et 12 873 paniers abandonnés contiennent noms, adresses et commandes.
- Les fonds ne sont pas en danger : clés privées et phrases de récupération restent hors de portée.
- Keystone détruit ses stocks équipés de l’ancienne clé et bascule ses ventes en précommande.
Que s’est-il passé chez Keystone ?
Le 24 octobre 2026, le fabriquant de hardware wallets, Keystone a publié un communiqué sur X. L’entreprise y explique avoir repéré un accès anormal sur son site officiel, puis l’avoir coupé dans la foulée.
L’incident s’est semblerait-il déroulé le 20 octobre 2026 et l’intrusion passe par une faille d’un outil tiers de suivi de données, installé sur la boutique en ligne du fabricant. Ce point d’entrée a offert à l’attaquant des droits bien plus élevés que prévu.
Après 3 jours d’investigations et après vérification des appels à l’API avec Shopify, l’entreprise confirme le vol de fiches client datant de 2024 à 2026.
Au total, les données de 25 964 fiches d’acheteurs sont tombées entre les mains de l’attaquant, ainsi que 12 873 paniers abandonnés qui contenaient eux aussi des coordonnées. Les ventes passées par Amazon et les autres canaux ne sont quant à elles pas concernées.
Le communiqué détaille les éléments récupérés : noms, coordonnées, adresses de livraison et détails des commandes. La partie qui fâche concerne la conservation de ces données. Keystone assure les effacer au bout de 180 jours, mais son outil de suppression automatique a mal fonctionné sans que l’équipe s’en aperçoive.
90 jours, voilà la nouvelle durée de rétention. Les demandes d’effacement déposées auprès de Shopify doivent aboutir le 3 novembre 2026.
« Nous vous devons des excuses. Le 20 octobre, nous avons détecté un accès non autorisé sur notre site officiel. Vous nous avez confié ces informations, et nous sommes désolés de ne pas les avoir protégées. »
Keystone Hardware Wallet, le 24 octobre 2026
Faut-il s’inquiéter pour ses fonds ?
Non. Keystone se veut catégorique et écarte les phrases de récupération, les clés privées, les données bancaires et les mots de passe de wallet de la liste des éléments accessibles. Personne n’a besoin de déplacer ses fonds.
Les appareils livrés avant le 20 octobre 2026 qui passent le contrôle d’authentification restent sûrs.
Le vrai problème porte sur la clé WebAuth, gravée à la fabrication et impossible à modifier ensuite. Le communiqué du 24 octobre distinguait l’incident du site d’une compromission des appareils. Une nouvelle annonce publiée ce lundi 26 octobre y ajoute cette clé, utilisée pour prouver qu’un appareil est authentique sur keyst.one/authentication, sans jamais intervenir sur les transactions.
Par exemple, si un faussaire dispose de cette clé, il peut graver la même puce dans un clone. Le faux appareil passerait alors le contrôle du site, et l’acheteur n’aurait aucun moyen de douter.
L’entreprise a bloqué l’accès, corrigé la faille et ouvert une enquête. Avec la clé volée, elle a aussi gelé ses stocks : 18 835 appareils équipés de l’ancienne clé partent à la casse.
Que faire si votre colis est arrivé après le 20 octobre 2026 avec l’ancienne clé ? Keystone ne peut « pas complètement exclure » une contrefaçon et demande de contacter son support avant toute utilisation.
L’entreprise a gelé les expéditions du site et bascule ses ventes en précommande, le temps de produire des appareils avec la nouvelle clé.
Une règle à retenir dans tous les cas : Keystone ne demande le rappel d’aucun appareil. Toute demande de « rappel » qui réclame votre appareil est une arnaque, Crypto : L’Europe impose 24 heures chrono pour signaler une faille de wallet.
L’intrusion n’est pas un cas isolé. Les fabricants de wallets multiplient les plans de contrôle, des faux e-mails Foundation à l’affaire des implants Ledger. Un wallet reste sûr tant que sa clé privée ne bouge pas ; le maillon faible est devenu tout ce qui l’entoure, de la boutique au colis.
Renaud H.
Ingénieur en software et en systèmes distribués de formation, passionné de cryptos depuis 2013. Touche à tout, entre mining et développement, je cherche toujours à en apprendre plus sur l’univers des cryptomonnaies et à partager le fruit de mes recherches à travers mes articles.