Keystone va détruire 18 835 appareils dotés d’une clé de sécurité compromise

La clé est intégrée aux portefeuilles lors de la fabrication ; elle ne peut être effacée ni réécrite. Keystone assure qu’elle ne sert pas à générer des phrases de récupération, à créer des clés privées ni à signer des transactions. Avec cette clé, un attaquant peut fabriquer de faux appareils capables de passer les contrôles d’authentification de Keystone. Si ces contrefaçons parviennent à des clients les prenant pour des produits authentiques, ces derniers perdront leurs crypto-actifs. Keystone abandonne totalement l’ancienne clé. Tous les nouveaux appareils seront commercialisés avec une nouvelle clé d’authentification. Le fabricant promet que 18 835 portefeuilles matériels en stock contenant la clé compromise seront détruits et ne seront pas vendus. Keystone a suspendu l’expédition de tous les appareils non payés commandés via son site officiel et basculé les ventes en précommande jusqu’à la reprise de la production des appareils dotés de la nouvelle clé. Le 20 octobre, ses systèmes de surveillance ont détecté une activité suspecte sur le site. Un acteur inconnu a exploité une faille dans l’outil de surveillance des données. L’incident a compromis les données personnelles de 25 964 clients ayant passé commande sur la plateforme Shopify entre 2024 et 2026. Les noms, coordonnées, adresses de livraison et informations de commande ont été exposés. L’attaquant n’a pas eu accès aux phrases de récupération, aux clés privées ni aux informations de paiement. Selon la politique interne de Keystone, les données clients doivent être supprimées au bout de 180 jours. Des représentants de l’entreprise affirment qu’un outil automatisé de suppression en masse a dysfonctionné et reconnaissent que les données compromises n’ont pas été supprimées à temps. Le pirate a eu accès à 12 873 enregistrements de commandes incomplètes, contenant eux aussi noms, coordonnées et adresses de livraison. Les appareils livrés avant le 20 octobre sont considérés comme utilisables par le fabricant à condition de passer la vérification d’authenticité. Les clients ayant reçu après le 20 octobre un portefeuille doté de l’ancienne clé sont invités à contacter le service client pour une vérification supplémentaire. Même si un appareil passe l’authentification, la possibilité d’une contrefaçon ne peut être exclue. Keystone annonce qu’il ne demandera pas aux propriétaires de portefeuilles de renvoyer leurs appareils. Toute personne demandant le renvoi d’un portefeuille pour remplacement est désignée comme un escroc. Auparavant, un autre grand fabricant de portefeuilles matériels, Ledger, avait reconnu qu’un groupe de pirates achetait spécifiquement des appareils. Les attaquants ouvraient les portefeuilles et installaient des modules cachés pour intercepter les phrases de récupération. Des portefeuilles équipés de modules espions sont même apparus sur la place de marché russe Ozon.