Yishi Wang, fondateur de OneKey, s’est engagé à supprimer les données des clients dans un délai de 30 jours, après que son concurrent Keystone, fabricant de portefeuilles matériels, a reconnu l’échec de son système de suppression sous 180 jours à la suite d’une fuite ayant exposé les données de près de 26 000 acheteurs.
Le centre d’assistance de Keystone a indiqué que la suppression définitive des données des utilisateurs était prise en charge par Shopify. Cette révélation met en évidence une faille de sécurité au niveau des boutiques Shopify et des entreprises de logistique, échappant au contrôle des fabricants de portefeuilles comme OneKey et Keystone, malgré l’engagement de 30 jours pris par le premier.
Pourquoi OneKey réduit sa période de conservation des données
Yishi Wang, de OneKey, a confirmé mardi que le fabricant de portefeuilles matériels auditait son propre système de sécurité après que de récentes violations et attaques de la chaîne d’approvisionnement ont révélé des failles de sécurité dans le secteur où il exerce ses activités.
Wang a souligné que cette mesure était préventive, en précisant que « OneKey n’a PAS été victime d’un incident de sécurité ». La décision de limiter la conservation des données à 30 jours répond directement à ce qui a mal tourné ailleurs.
La raison de cette période de conservation plus courte est simple : plus un fournisseur conserve longtemps les données de ses clients, plus la quantité de données susceptible d’être exposée lors d’une violation est importante.
Qu’est-ce qui a causé la violation de données chez Keystone ?
Keystone a révélé que le système qui supprime automatiquement les données des clients à l’issue de leur période de conservation de 180 jours avait cessé de fonctionner sans déclencher la moindre alerte. « Nous n’avons pas respecté notre engagement d’effacer les données des clients dans les délais prévus, et nous assumons la responsabilité de cet échec », a déclaré l’entreprise.
Lors de l’examen de 51 083 dossiers d’acheteurs Shopify, Keystone a constaté que 25 964 d’entre eux contenaient encore des données personnelles : noms, adresses de livraison, coordonnées et historiques d’achat. Apparemment, des données datant de 2024 étaient toujours conservées, bien au-delà de la limite de 180 jours mise en avant par l’entreprise après que les clients de Ledger ont appris, en janvier 2026, qu’une fuite avait touché son partenaire de commerce électronique Global-e.
Les enquêteurs ont découvert des données sensibles dans 12 873 autres dossiers de paiement non finalisés.
En réponse, Keystone a désormais réduit sa période de conservation à 90 jours.
Keystone a également révélé le 26 octobre que des attaquants avaient dérobé la clé WebAuth utilisée par ses appareils pour prouver leur authenticité. L’intrusion a été attribuée à une faille dans un outil de surveillance tiers, qui a permis aux intrus d’élever leur niveau d’accès. Keystone a repéré l’activité pour la première fois le 20 octobre.
Comme la clé est intégrée à chaque appareil lors de sa fabrication et ne peut pas être remplacée, Keystone prévoit de détruire les 18 835 unités en stock qui la contiennent. Les nouveaux portefeuilles seront dotés d’une clé de remplacement.
L’entreprise a suspendu les expéditions des commandes en attente passées sur son site Web et est passée aux précommandes.
Les promesses de suppression ne valent que ce que valent les partenaires qui détiennent les données
Il convient de noter que les fabricants de portefeuilles matériels ne sont pas les seuls à conserver des données sur leurs clients. Les plateformes de commerce électronique et les partenaires d’expédition traitent également les noms, adresses et historiques de commandes des clients, et c’est à ce niveau que la plupart des récentes violations ont eu lieu.
La fuite de données de Trezor a touché 81 000 clients après que son partenaire d’expédition ShipMonk n’a pas supprimé les dossiers, malgré des assurances écrites répétées. SafePal a exposé les données d’environ 39 798 clients à cause d’une faille dans le suivi des commandes et a depuis réduit sa période de conservation à 90 jours. Ledger a confirmé que des appareils revendus par CryptoBilis dissimulaient des puces qui capturaient les phrases de récupération. Cryptopolitan, citant des chercheurs spécialisés dans l’analyse des chaînes de blocs, a estimé les pertes à plus de 86 millions de dollars.
Si vous lisez ceci, vous avez déjà une longueur d’avance. Gardez-la grâce à notre newsletter.