Keystone, fabricant de hardware wallets, a révélé le 24 octobre 2026 une intrusion sur sa boutique en ligne, puis le 26 octobre le vol de la clé qui authentifie ses appareils. Selon l'entreprise, les données de 25'964 acheteurs ont fuité. Les fonds des clients ne sont pas exposés, mais 18'835 appareils en stock partent à la casse.
Que s'est-il passé chez Keystone ?
Keystone a détecté le 20 octobre 2026 un accès non autorisé à son site officiel. Selon Journal du Coin, l'attaquant est passé par la faille d'un outil tiers de suivi de données, installé sur la boutique. Ce point d'entrée lui a donné des droits bien plus larges que prévu.
L'entreprise a vérifié avec Shopify les appels à son interface de programmation (API). Elle a confirmé le 23 octobre qu'un tiers avait obtenu des informations de livraison. Elle a bloqué l'accès, corrigé la faille et ouvert une enquête.
Deux communiqués ont suivi. Celui du 24 octobre, publié sur X, porte sur les données clients et présente des excuses. Celui du 26 octobre ajoute un élément plus sensible : la clé WebAuth, qui prouve l'authenticité des appareils, figure parmi les éléments récupérés.
Quelles données clients ont fuité ?
Selon Keystone, l'attaquant a obtenu 25'964 fiches d'acheteurs et 12'873 paniers abandonnés, datés de 2024 à 2026. Ces fichiers contiennent les noms, les coordonnées, les adresses de livraison et le détail des commandes. Les ventes passées par Amazon et les autres canaux ne sont pas concernées.
La durée de conservation pose question. Keystone assure effacer ces données après 180 jours, mais son outil de suppression automatique a mal fonctionné sans que l'équipe s'en aperçoive. La durée passe désormais à 90 jours. Les demandes d'effacement déposées auprès de Shopify doivent aboutir le 3 novembre 2026.
| Élément | Touché selon Keystone ? |
|---|---|
| Noms, coordonnées, adresses de livraison | Oui |
| Détail des commandes | Oui |
| Clé WebAuth d'authentification des appareils | Oui |
| Phrases de récupération et clés privées | Non |
| Données bancaires | Non |
| Mots de passe de wallet | Non |
À quoi sert la clé d'authentification d'un hardware wallet ?
La clé WebAuth sert uniquement à vérifier qu'un appareil Keystone est authentique. Elle est gravée à la fabrication et ne peut plus être modifiée ensuite. Elle n'intervient jamais dans les transactions.
Le contrôle se fait sur la page keyst.one/authentication. Selon Keystone, l'utilisateur scanne un code QR avec son appareil, saisit le code affiché, puis reçoit le résultat en une à deux minutes. Ce test vise les attaques sur la chaîne d'approvisionnement, quand un appareil est modifié entre l'usine et la livraison.
Le vol de la clé affaiblit justement ce garde-fou. Comme l'explique Journal du Coin, un faussaire qui la détient peut graver la même puce dans un clone. Le faux appareil passerait alors le contrôle du site, sans que l'acheteur puisse s'en douter.
Keystone a donc gelé ses stocks. Les 18'835 appareils équipés de l'ancienne clé sont détruits. Les expéditions depuis le site sont suspendues et les ventes passent en précommande, le temps de produire des appareils avec une nouvelle clé.
Mon portefeuille crypto est-il en danger ?
Selon Keystone, non. L'entreprise exclut les phrases de récupération, les clés privées, les données bancaires et les mots de passe de wallet des éléments accessibles. Personne n'a besoin de déplacer ses fonds.
Les appareils livrés avant le 20 octobre 2026 qui passent le contrôle d'authentification restent sûrs, d'après le fabricant. Sa page de vérification rappelle que les clés privées ne quittent jamais l'appareil et que le test n'expose aucune donnée sensible.
Quels gestes faire si l'on possède un Keystone ?
- Appareil livré avant le 20 octobre 2026 : lancer la vérification sur le site officiel. S'il la passe, Keystone le considère comme sûr.
- Colis arrivé après le 20 octobre avec l'ancienne clé : Keystone ne peut « pas complètement exclure » une contrefaçon. Il faut contacter son support avant toute utilisation.
- Vérification en échec : cesser d'utiliser l'appareil, ne surtout pas y saisir sa phrase de récupération, garder une capture du résultat et écrire à support@keyst.one.
- Demande de « rappel » : Keystone ne rappelle aucun appareil. Tout message qui réclame le vôtre est une arnaque.
La règle de base de la sécurité crypto ne change pas. Lors de la fausse mise à jour Ledger, la société SlowMist la résumait ainsi : ne jamais entrer sa phrase de récupération nulle part.
Pourquoi des adresses volées comptent quand même
Notre analyse : un nom, une adresse et le détail d'une commande suffisent à rendre un message frauduleux crédible. L'escroc peut citer un achat réel, ce qui désarme la méfiance du client.
Le précédent est récent. En octobre 2026, après l'affaire des Ledger piégés vendus en Asie du Sud-Est, un e-mail signé « The Ledger Team » promettait un correctif de firmware et réclamait les 24 mots. Les escrocs misaient sur l'inquiétude des détenteurs, comme ils pourraient le faire avec les clients de Keystone.
Journal du Coin résume l'enjeu : un wallet reste sûr tant que sa clé privée ne bouge pas. Le maillon faible est devenu tout ce qui l'entoure, de la boutique au colis.
Et pour les clients en Suisse ?
Keystone ne donne aucune répartition des clients touchés par pays. Le nombre d'acheteurs domiciliés en Suisse reste donc inconnu. L'entreprise n'a pas de lien avec l'agence de presse suisse Keystone-ATS, malgré le nom.
L'incident s'inscrit dans une tendance que le Préposé fédéral à la protection des données suit de près. Il a reçu 455 annonces de violations de données en Suisse depuis le début de 2026, contre 343 sur toute l'année 2025. Selon lui, l'interconnexion des données augmente le risque de violation. Notre analyse : le cas Keystone l'illustre, puisque l'attaque est passée par un outil tiers branché sur la boutique.
Ce qu'on ne sait pas encore
- Le nom de l'outil tiers de suivi de données par lequel l'attaquant est entré.
- La manière dont la clé WebAuth a pu être récupérée lors d'une intrusion sur le site.
- Si des clones équipés de la clé volée circulent déjà.
- La date de reprise des expéditions avec des appareils dotés de la nouvelle clé.
- Le nombre de clients concernés en Suisse.
