Keystone a demandé aux utilisateurs de mettre à jour son application Nexus vers la version 1.3.7, après qu’une cyberattaque a perturbé certains de ses services.
Il s’agit de la troisième divulgation concernant la sécurité du fabricant de portefeuilles matériels en deux semaines environ.
L’attaque contre l’application Nexus et le correctif v1.3.7
Keystone a publié vendredi 6 novembre sur X que certains services de l’application Nexus avaient été piratés lors d’une cyberattaque et que plusieurs utilisateurs n’avaient pas pu utiliser l’application pendant un certain temps.
L’entreprise a indiqué que son équipe avait réagi et renforcé la sécurité des serveurs. À l’issue de son enquête, elle a écrit qu’elle n’avait « trouvé aucun indice indiquant que les actifs ou les informations personnelles des utilisateurs avaient été affectés ».
Keystone s’est excusée pour l’interruption et a invité les utilisateurs à mettre leur application à jour vers la version 1.3.7. Elle a également précisé qu’ils devaient vérifier que l’application téléchargée indiquait « Yanssie HK Limited » comme développeur. Toute autre application ne mentionnant pas ce développeur ne provient pas de l’entreprise.
Une faille dans la boutique a exposé 25 964 dossiers d’acheteurs
La première révélation a eu lieu lorsque Keystone a reconnu qu’un intrus avait accédé à sa boutique en ligne propulsée par Shopify.
Un accès non autorisé a été détecté le 20 octobre. L’entreprise a confirmé le 23 octobre qu’un tiers avait récupéré des données d’expédition de clients, puis a rendu l’information publique le lendemain.
Les dossiers volés contenaient des noms, des coordonnées, des adresses de livraison et des informations sur les commandes, notamment les appareils achetés par les clients.
L’entreprise a déclaré que les cartes de paiement, les coordonnées bancaires, les phrases de récupération et les clés privées n’avaient pas été exposées.
Il a été signalé que les dossiers volés comprenaient 25 964 dossiers d’acheteurs ayant effectué des achats entre 2024 et 2026. Par mesure de précaution, l’entreprise a également recensé 12 873 dossiers de paiement non finalisés.
La fuite comprenait des adresses personnelles. Elle a incité le chercheur en sécurité Taylor Monahan à souligner qu’elle pouvait exposer les détenteurs à des « attaques à la clé à molette », des menaces physiques visant à contraindre les propriétaires à remettre leurs cryptomonnaies.
La plateforme de sécurité crypto Certik a recensé 52 attaques de ce type au premier semestre 2026. Seuls 39 incidents de ce type avaient été enregistrés l’année précédente.
18 835 portefeuilles voués à la destruction
Quelques jours après avoir révélé le vol de dossiers d’utilisateurs, Keystone a de nouveau fait parler d’elle en annonçant que l’auteur de la première attaque avait également dérobé la clé WebAuth utilisée par ses appareils pour prouver leur authenticité.
L’attaquant aurait exploité une faille dans un outil de surveillance tiers du site Web pour obtenir des privilèges élevés, puis aurait dérobé à la fois les données des clients et la clé.
Le principal problème est que la clé est gravée dans chaque appareil lors de sa fabrication et qu’elle ne peut pas être remplacée.
Toute personne en possession de la clé pourrait fabriquer un faux appareil qui réussirait le propre contrôle d’authenticité de Keystone. Keystone a décidé de détruire les 18 835 unités invendues contenant la clé compromise.
L’entreprise a déclaré qu’un portefeuille livré avant le 20 octobre et qui réussit le contrôle est authentique. Pour les appareils dotés de l’ancienne clé reçus après cette date, elle « ne peut pas totalement exclure la possibilité qu’il s’agisse d’une contrefaçon » et a demandé à leurs propriétaires de contacter le service d’assistance avant toute utilisation.
Elle n’a signalé aucun appareil contrefait ni aucun vol à ce jour.
La durée de conservation a été réduite à 90 jours après l’échec d’un outil de suppression
Keystone avait annoncé effacer les données d’expédition 180 jours après une commande. Pourtant, des clients ont signalé avoir reçu des avis de violation concernant des achats datant de plus de deux ans.
L’outil automatisé d’effacement de l’entreprise a échoué et les anciens dossiers ont été conservés.
Keystone a donc réduit sa durée de conservation à 90 jours. Elle a également demandé à Shopify de supprimer les données personnelles plus anciennes, et les dossiers conservés au-delà du délai devraient être effacés d’ici le 3 novembre.
À la suite de l’incident Keystone, son concurrent OneKey a également plafonné sa propre durée de conservation à 30 jours.
De nombreux projets crypto ont connu une année 2026 difficile en matière de cyberattaques. Les fabricants de portefeuilles matériels n’ont pas été épargnés.
En août, une fuite de données ayant touché ShipMonk, l’un des partenaires logistiques de Trezor, a affecté environ 81 000 clients.
SafePal a exposé les données d’environ 39 798 personnes à cause d’une faille dans le suivi des commandes, et Ledger a découvert des puces cachées dans des appareils revendus, que des chercheurs sur la blockchain ont liées à des pertes dépassant 86 millions de dollars.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C’est gratuit.