Keystone détruira 18 835 portefeuilles après une faille

Keystone va détruire 18 835 portefeuilles matériels invendus et suspendre ses expéditions après une faille survenue le 20 octobre sur son site web, qui a exposé une clé de production utilisée pour l’authentification des appareils. L’attaque a également exposé les données de 25 964 acheteurs entre 2024 et 2026, notamment leurs noms, coordonnées, adresses de livraison et informations de commande. 12 873 autres dossiers de paiement non finalisés pourraient avoir été concernés.

Pourquoi c’est important

La clé volée est intégrée aux appareils pendant leur fabrication et ne peut pas être modifiée. Elle pourrait permettre à des portefeuilles contrefaits de passer les contrôles d’authenticité en ligne de Keystone, créant un risque pour la chaîne d’approvisionnement, même si l’entreprise a indiqué que les phrases de récupération, les clés privées et les identifiants des portefeuilles n’avaient pas été exposés.

Keystone a déclaré que la faille provenait d’un défaut dans un outil tiers de surveillance des données. L’incident a également révélé que certaines données clients étaient conservées au-delà de la politique de suppression fixée à 180 jours, après l’échec non détecté d’un outil de suppression automatisée. Keystone a reconnu sa responsabilité et indiqué qu’elle réduirait la durée de conservation à 90 jours.

Cette annonce intervient après d’autres incidents touchant des entreprises de portefeuilles matériels. Foundation a fait état de plus de 23 000 tentatives d’hameçonnage et de copies de bases de données contenant des milliers d’adresses postales et de numéros de téléphone. Des utilisateurs de Ledger en Asie du Sud-Est ont reçu des appareils contenant des composants dissimulés capables de capturer les phrases de récupération, tandis qu’une faille dans la génération des seeds de Coldcard permettait de reconstruire des clés privées.

Impact sur le marché

Keystone a indiqué que les appareils livrés avant le 20 octobre restent sûrs à utiliser s’ils passent les contrôles d’authentification, tandis que les clients ayant reçu après cette date des appareils utilisant l’ancienne clé devraient effectuer des vérifications supplémentaires. L’entreprise a précisé que les utilisateurs n’avaient pas besoin de déplacer leurs fonds en raison de cette seule faille et les a mis en garde contre les faux messages de rappel ou de migration d’actifs.

Keystone prévoit de remplacer la clé d’authentification sur les nouveaux appareils et de transformer les ventes sur son site en précommandes. Plus largement, l’incident accroît les exigences de sécurité et de confiance qui pèsent sur les fabricants de portefeuilles matériels, notamment en matière de provenance des appareils, de conservation des données et de communications clients résistantes à l’hameçonnage.