Keystone : fuite de données Shopify — sixième marque de cold wallet touchée en 2026

Le fabricant de portefeuilles matériels Keystone a confirmé le samedi 24 octobre 2026 une intrusion sur sa boutique en ligne hébergée chez Shopify. L'accès non autorisé a été détecté le 20 octobre et confirmé le 23 octobre après une revue des logs API Shopify. Les données exposées : noms, coordonnées, adresses de livraison, produits achetés et montants payés. Les clés privées, phrases de récupération et mots de passe de portefeuille ne sont pas concernés, selon Keystone. Cointribune place l'épisode dans la série de fuites qui frappe les fabricants de cold wallets en 2026 ; The Block rapporte le détail de la divulgation et les plaintes de clients.

Le point de litige : la politique de suppression à 180 jours

Keystone affiche dans sa page Privacy Promise et sur X : « 180 days after your order, your shipping data is permanently deleted. » Plusieurs clients contestent sur X : les commandes exposées, selon eux, dépassent cette fenêtre. Un client cite un enregistrement vieux de 214 jours ; un autre signale avoir reçu un appel téléphonique usurpant un numéro de la police de Montréal, l'interlocuteur citant les détails d'une commande Keystone de 2024. Cet appel est antérieur à la divulgation publique de Keystone.

La politique de confidentialité du site, dernière mise à jour datée de mai 2021, utilise une formulation plus souple (« order information for customers who have not ordered within the last 180 days »), et un article du centre d'aide précise que Shopify prend en charge la suppression finale. The Block n'a pas pu vérifier indépendamment l'âge des commandes exposées. Keystone n'a pas déclaré si sa politique de rétention a bien été appliquée côté Shopify.

Confirmé vs. non confirmé

Confirmé :

• Accès non autorisé via la boutique Shopify : détection le 20 octobre, confirmation le 23 octobre contre les logs API Shopify, divulgation le 24 octobre.
• Données exposées : noms, coordonnées, adresses de livraison, lignes de produits, montants.
• Keystone contacte par e-mail les clients concernés.

Non confirmé :

• Nombre de clients touchés.
• Vecteur d'attaque sur la boutique Shopify (clé API fuitée, compte admin compromis, application tierce, thème piégé).
• Respect effectif de la rétention de 180 jours.
• Volume exact des commandes antérieures à la fenêtre de 180 jours dans le lot exposé.

Pattern 2026 : la sixième marque de cold wallet touchée

- Ledger — fuite Global-e (notif. 5 janv.) ;
            revendeur CryptoBilis vendant des appareils avec implants
            matériels captant la seed à l'initialisation (10 oct.).
            Pertes on-chain estimées > 86 M$.
- Coldcard — faille de génération de seed (30 juil.) ; ~116 M$ en BTC
             attribués à l'exploitation.
- Trezor — fuites e-mail via ShipMonk (13 août) et Brevo (10 sept.) ;
           plus de 427 000 adresses exposées.
- SafePal — faille dans le suivi de commandes (16 août) ;
            39 798 enregistrements clients compromis.
- BitBox — vol d'e-mails via le sous-traitant Brevo (24 sept.),
           alimentant des campagnes de phishing ciblé.
- Keystone — intrusion Shopify (20–24 oct.).

Quatre épisodes sur six (Keystone, Ledger-Global-e, Trezor-Brevo/ShipMonk, BitBox-Brevo) sont des compromissions de prestataires tiers — boutique, logistique, e-mailing marketing — et non des failles au niveau de l'appareil. La ligne de défense technique des hardware wallets — la phrase de récupération générée sur l'appareil et jamais exposée — tient. La surface d'attaque qui cède, c'est celle qui expédie le colis et conserve l'historique de livraison.

Le cas Ledger-CryptoBilis d'octobre 2026 reste à part : implants matériels physiques glissés dans les appareils par un revendeur, avec capture de seed à l'initialisation et plus de 86 M$ de pertes documentées. C'est une classe de risque différente d'une fuite d'adresses postales. Keystone n'a pas signalé d'incident de cette nature.

À surveiller

1. Le vecteur d'intrusion Shopify que Keystone devra publier. Les cas connus sur Shopify : clé API fuitée, compte administrateur pris, application tierce malveillante, identifiants de thème volés. Chacun implique une recommandation différente pour les autres vendeurs de hardware wallets hébergés sur Shopify.
2. La question des 180 jours : si des enregistrements dépassant la fenêtre de rétention étaient effectivement dans le lot volé, Keystone doit préciser où la suppression a échoué — côté Shopify, selon son centre d'aide, ou côté Keystone, selon sa Privacy Promise.
3. Vagues de phishing ciblé : les épisodes Trezor-Brevo et BitBox-Brevo ont donné lieu à des campagnes de phishing visant la phrase de récupération dans les jours suivant la divulgation. Les clients Keystone doivent considérer que les données volées sont déjà entre les mains d'un opérateur d'ingénierie sociale.
4. Advisory sectoriel unifié. Six marques en dix mois, cinq via des prestataires tiers : il n'existe à ce jour aucune norme publique commune sur la rétention des données clients chez les fournisseurs de hardware wallets.

À faire si vous êtes client Keystone

1. Supposez que vos nom, adresse postale, numéro de téléphone et détail de commande sont dans un lot volé.
2. Refusez tout appel « de vérification » non sollicité, y compris s'il semble venir d'un numéro de police local — le schéma d'usurpation de Montréal est déjà en circulation.
3. Ne saisissez jamais votre phrase de récupération à la demande d'un interlocuteur, qu'il se présente comme support Keystone, livreur ou autorité.
4. Si un appareil arrive dans un emballage que vous n'avez pas commandé ou qui présente des traces d'ouverture, ne l'initialisez pas — n'utilisez que des appareils scellés, acquis auprès du vendeur d'origine.

Contexte

L'épisode Keystone arrive deux semaines après la divulgation de l'affaire Ledger-CryptoBilis, et dans un trimestre où les clients sont déjà sous pression de phishing après les fuites Trezor-Brevo et BitBox-Brevo. Il s'inscrit dans la même logique que la mise à jour Electrum 4.8.3 de la semaine dernière : la base d'utilisateurs de cold wallets vit sous pression simultanée sur plusieurs vecteurs — appareil, logiciel compagnon, logistique du vendeur, prestataires marketing. Keystone affirme que ses appareils ne sont pas compromis ; le point reste que, pour un client qui achète en ligne, la liste des surfaces à faire confiance s'allonge chaque mois.

Sources :

• Cointribune — Hack Ledger, Coldcard, Keystone… La fin des Cold Wallets crypto ? (source primaire FR, 2026-10-25).
• The Block — Keystone customers say breach exposed data the hardware wallet maker promised to delete (vérification, 2026-10-25).