Keystone affirme qu’une faille de son site a exposé les adresses des acheteurs de portefeuilles matériels

Le fabricant de portefeuilles matériels de cryptomonnaies Keystone a révélé une faille de sécurité sur son site web qui a exposé des informations clients à des attaquants, suscitant des inquiétudes concernant les escroqueries ciblées et les attaques physiques. 

Keystone a déclaré samedi avoir détecté une activité suspecte plus tôt dans la semaine et avoir confirmé vendredi, après avoir examiné l’activité de l’API avec Shopify, qu’un tiers non autorisé avait accédé aux informations d’expédition des clients. Celles-ci comprenaient les noms, les coordonnées, les adresses d’expédition et d’autres détails de commande, comme les articles achetés. 

« Nous avons bloqué l’accès, corrigé la vulnérabilité, ouvert une enquête et envoyons un e-mail aux clients concernés », a déclaré l’entreprise.

Keystone a averti que les informations exposées pourraient être utilisées pour des attaques d’hameçonnage ciblées. Cependant, la chercheuse en sécurité Taylor Monahan a également soulevé des inquiétudes : la divulgation des adresses d’expédition pourrait exposer les clients à des attaques physiques et à des enlèvements. 

La société de sécurité blockchain CertiK a recensé 52 attaques à la clé anglaise confirmées dans le monde au premier semestre 2026, soit 33 % de plus que les 39 enregistrées au cours de la même période l’an dernier. Ces crimes, communément appelés « attaques à la clé anglaise », consistent à recourir à des menaces physiques ou à la violence pour contraindre des détenteurs de cryptomonnaies à remettre leurs actifs. 

« Encore une fois, nous sommes sincèrement désolés pour toutes les personnes concernées », a déclaré Keystone. L’entreprise n’a pas précisé combien de clients avaient été touchés. 

Keystone mise en cause pour sa promesse de supprimer les données clients

La faille a également soulevé des questions sur la gestion par Keystone des anciennes informations clients. 

Dans un article de blog publié en 2023, Keystone a déclaré avoir réduit la durée de conservation des données clients à 180 jours à la suite d’incidents de sécurité ayant touché d’autres fabricants de portefeuilles matériels. 

Cependant, certains clients ont déclaré avoir reçu des notifications concernant la faille bien qu’ils aient acheté leurs appareils il y a plus de deux ans, ce qui soulève des questions sur les informations conservées par Keystone et sur le fait que ces notifications indiquent ou non que les anciennes commandes n’ont pas été supprimées comme promis. 

À lire aussi : L’Italie enquête sur une faille touchant des e-mails gouvernementaux liée à une fuite de données de Revolut

Un utilisateur de X se faisant appeler « OG DEGEN » a déclaré avoir reçu un appel d’un escroc prétendant être un agent des forces de l’ordre enquêtant sur une affaire de fraude. L’utilisateur a soupçonné que l’appelant avait obtenu ses informations par l’intermédiaire d’une commande Keystone passée en 2024, compte tenu des informations personnelles auxquelles l’appelant a fait référence. 

« Je pense que son plan était de me convaincre que mes clés privées avaient été exposées, puis de m’envoyer un lien d’hameçonnage censé permettre de les réinitialiser », a-t-il écrit sur X. 

Un autre utilisateur de X, trintaetres, a également déclaré avoir reçu la notification par e-mail bien qu’il ait acheté l’appareil il y a plus de deux ans. 

Cointelegraph a contacté Keystone pour demander comment des informations clients provenant d’achats effectués plus de 180 jours auparavant avaient pu être exposées malgré sa politique de conservation annoncée précédemment, et combien de clients avaient été touchés. L’entreprise n’avait pas répondu au moment de la publication. 

Magazine : Des agents IA contribuent à sauver le fork Glamsterdam d’ETH, le site « Steal My Bitcoin » : le condensé du hodler