Keystone détruit 18 835 wallets après le vol de sa clé WebAuth, 25 964 clients exposés

Le fabricant de portefeuilles matériels Keystone a confirmé le 26 octobre 2026 que les données volées lors de l'intrusion sur sa boutique Shopify incluent la clé WebAuth gravée à la fabrication, et annonce la destruction de 18 835 appareils non expédiés porteurs de cette ancienne clé. 25 964 fiches d'acheteurs sont concernées, auxquelles s'ajoutent 12 873 paniers abandonnés contenant aussi des coordonnées. Les enregistrements exposés couvrent 2024 à 2026, selon Journal du Coin ; CoinDesk couvre l'annonce côté EN.

L'intrusion elle-même et la politique de rétention à 180 jours avaient été couvertes ici le 25 octobre. La destruction des stocks et le vol de la clé WebAuth sont les nouveaux éléments des 26-27 octobre.

À quoi sert la clé WebAuth

La clé compromise est gravée dans la puce au moment de la fabrication, non modifiable ensuite. Son unique fonction : authentifier l'appareil face au site officiel Keystone quand un acheteur vérifie l'origine de son wallet. Elle n'intervient pas dans la signature de transactions, la dérivation d'adresses ni la sécurité de la phrase de récupération. Le communiqué du 24 octobre ne la mentionnait pas ; celui du 26 octobre l'ajoute aux données récupérées par l'attaquant.

Le risque supply-chain est précis :

• Un faussaire disposant de la clé pourrait graver la même puce dans une contrefaçon, qui passerait alors le contrôle d'authenticité du site.
• Keystone « ne peut pas complètement exclure » qu'un appareil livré après le 20 octobre 2026 avec l'ancienne clé soit une contrefaçon ; les acheteurs sont invités à contacter le support avant toute utilisation.
• Les appareils livrés avant le 20 octobre qui passent le contrôle restent considérés comme sûrs.
• Les expéditions depuis le site Keystone sont gelées. Les nouvelles ventes basculent en précommande le temps que la production reparte avec une nouvelle clé. Aucune date de reprise.
• Les ventes Amazon et autres canaux sont annoncées comme non touchées.

Keystone n'a pas précisé si la clé WebAuth sert également à des contrôles de signature firmware ou à une attestation en chaîne d'approvisionnement au-delà du site.

Chiffres et dates

• 18 835 appareils voués à la destruction : « partent à la casse ».
• 25 964 fiches d'acheteurs (noms, coordonnées, adresses de livraison, détails de commande).
• 12 873 paniers abandonnés contenant aussi des coordonnées.
• Rétention passée de 180 jours à 90 jours. L'outil d'effacement automatique avait dysfonctionné sans alerte interne, ce qui explique la présence de données 2024 dans l'export.
• 20 octobre 2026 : accès non autorisé détecté sur la boutique Shopify.
• 23 octobre 2026 : fuite confirmée après revue des appels API Shopify.
• 24 octobre 2026 : premier communiqué public.
• 26 octobre 2026 : second communiqué, ajout de la clé WebAuth à la liste des données volées, annonce de la destruction.
• 3 novembre 2026 : date visée pour l'aboutissement des demandes d'effacement auprès de Shopify.

Keystone confirme que phrases de récupération, clés privées, mots de passe de wallet, données bancaires ne sont pas concernés. Aucun transfert de fonds n'est à opérer.

Que faire si vous êtes concerné

1. Commande post-20 octobre reçue d'un canal Keystone direct : ne pas initialiser l'appareil, contacter le support Keystone pour vérifier l'authenticité.
2. Commande pré-20 octobre qui passe le contrôle d'authenticité : usage normal, risque limité à l'ingénierie sociale (adresses postales et noms exposés).
3. Hameçonnage : toute demande de « rappel appareil », « remboursement » ou « phrase de récupération » venant d'un prétendu agent Keystone est une arnaque. Keystone ne demande jamais de phrase de récupération ni de rappel physique.
4. Appel de la part d'un numéro usurpé (un cas déjà rapporté avec un numéro de la police de Montréal) : raccrocher, rappeler l'organisme réel.

Que surveiller

1. Nouvelle clé. Keystone devra permettre aux porteurs de distinguer un appareil ancien d'un appareil « nouvelle clé ». Un check firmware ou un recoupement par numéro de lot serait la solution propre ; aucune mécanique n'est décrite pour l'instant.
2. Détection de contrefaçon. Si un appareil cloné utilisant l'ancienne clé est repéré (via un rapport de perte de fonds), le modèle de menace cesse d'être théorique.
3. Audit indépendant de la destruction. 18 835 appareils, ce n'est pas symbolique. Une vidéo ou une attestation tierce fermerait la chaîne de responsabilité.
4. Firmware d'attestation. La destruction suppose que la clé est fondamentale pour l'identité du dispositif. Une mise à jour firmware tournant la vérification côté serveur réduirait le coût ; son absence confirme la nature fuse-burn de la clé.

Contexte

Keystone devient le sixième fabricant de cold wallet touché par une fuite liée à un tiers en 2026, selon le compte tenu par Cointribune. La destruction annoncée est la première fois publiquement qu'un fabricant choisit de mettre au rebut un stock entier après compromission d'une clé d'identité. Les wallets matériels n'ont, à ce jour, aucun protocole standard pour révoquer un identifiant fuse-burn ; Keystone improvise un précédent en public, et c'est ce précédent — plus que le coût immédiat — que les autres fabricants vont regarder.