Keystone détruit 18 835 portefeuilles matériels, expéditions suspendues

Le fabricant de portefeuilles matériels Keystone détruit 18 835 appareils finis issus de son propre stock et a suspendu les expéditions. Derrière cette décision se trouve une clé cryptographique. Lors de l’intrusion dans le site de l’entreprise le 20 octobre 2026, la clé dite WebAuth a fuité : c’est elle qui permet aux détenteurs Keystone de vérifier en ligne l’authenticité de leur appareil. Cette clé est inscrite de façon définitive dans la puce lors de la fabrication et ne peut plus être remplacée ensuite. Il ne reste donc au fabricant qu’à détruire le lot concerné.

Pour les détenteurs, la situation est plus circonscrite que le chiffre ne le laisse croire. La phrase de récupération n’est pas touchée, selon l’entreprise, et celui qui a reçu son appareil avant le 20 octobre n’a ni à renvoyer quoi que ce soit ni à déplacer ses avoirs. C’est la date de livraison qui tranche. Ce texte fait le point sur ce qui a fuité, sur ce que la clé permet techniquement, sur les appareils concernés et sur la vague d’escroqueries qui suit régulièrement ce type d’annonce.

L’intrusion du 20 octobre : une faille dans un outil tiers du site

C’est la boutique en ligne qui a été attaquée, pas un appareil isolé. Selon l’entreprise, un attaquant est entré le 20 octobre 2026 dans le site officiel par une faiblesse d’un outil de supervision de données acheté à l’extérieur. Ces services s’insèrent comme du code tiers dans la page et voient tout ce qui s’y passe. Cette architecture est devenue ces dernières semaines le point d’entrée à plusieurs reprises, y compris chez des concurrents.

Deux choses très différentes ont fuité, selon l’entreprise. D’abord des données clients : 25 964 enregistrements d’achats des années 2024 à 2026 avec noms, coordonnées, adresses de livraison et détails de commande, auxquels s’ajoutent 12 873 commandes abandonnées. Keystone avait déjà reconnu cette partie le 25 octobre, et nous l’avons décrite dans notre article sur la fuite de données confirmée. Ensuite, et c’est l’élément nouveau de l’affaire, la clé WebAuth.

Restent intacts, selon le fabricant, les phrases de récupération, les clés privées, les autres identifiants de portefeuille, les données de paiement bancaire et les numéros de pièces d’identité. Cette délimitation compte, car elle marque la différence entre une fuite de données agaçante et une perte d’avoirs.

La clé WebAuth est inscrite en usine et ne peut pas être remplacée

Chez Keystone, clé WebAuth désigne le secret par lequel un appareil prouve à la page de vérification du fabricant qu’il provient bien de la production officielle. Le procédé est courant dans le secteur et s’explique en deux phrases : l’appareil reçoit un secret gravé en fabrication, le fabricant détient la contrepartie de ce secret, et lors de la vérification l’appareil résout un calcul que seul le bon secret permet de résoudre. S’il réussit, il est considéré comme authentique.

Le problème tient au mot « gravé ». Le secret est écrit une fois dans la puce et ne peut ensuite être ni effacé ni réécrit. Un mot de passe se change ; une clé de cette forme, non. Les appareils déjà fabriqués avec l’ancien secret restent donc durablement des appareils porteurs de l’ancien secret. Keystone a par conséquent basculé la production en cours sur une clé de remplacement. Pour la marchandise déjà fabriquée et stockée, cette voie n’existait pas.

18 835 appareils en stock partent à la destruction, les expéditions sont suspendues

La conséquence est d’une netteté inhabituelle. 18 835 appareils invendus porteurs de l’ancienne clé sont détruits : ils ne seront ni mis en vente ni livrés. Les expéditions via le site sont suspendues, la vente se poursuit en précommande. Celui qui voulait commander un portefeuille matériel de ce fabricant dans les prochains jours obtient donc une date de livraison plutôt qu’un colis.

Cette décision coûte un lot entier au fabricant et constitue, du point de vue du lecteur, la meilleure nouvelle, car l’autre option aurait été de livrer des appareils dont la preuve d’authenticité est connue. Si vous envisagiez de toute façon un nouvel achat, les critères figurent dans notre comparatif des portefeuilles matériels ; depuis les incidents de cette année, le circuit de livraison y constitue un critère à part entière.

Vérification : une contrefaçon pourrait passer le contrôle en ligne

Pourquoi une clé d’authenticité mérite-t-elle d’être protégée ? Parce que la vérification est la dernière instance avant qu’une personne ne saisisse sa phrase de récupération dans un appareil. Un portefeuille matériel manipulé se repère difficilement de l’extérieur et se trahit surtout lorsque la vérification auprès du fabricant échoue. Celui qui détient la clé pourrait, selon l’entreprise et les médias spécialisés qui en rendent compte, fabriquer des copies qui passeraient ce contrôle.

Ce qui est établi est une possibilité, pas un incident. À ce jour, aucune contrefaçon utilisant la clé dérobée n’a été signalée, ni aucune perte d’avoirs qui en découlerait. C’est la raison pour laquelle le fabricant dit expressément que personne n’a à déplacer ses avoirs du seul fait de cet incident. Le risque porte sur la marchandise future issue de sources incertaines, bien plus que sur les appareils déjà entre les mains des clients.

L’affaire Ledger a montré cette année à quel point ce schéma est réel : des appareils munis d’une puce supplémentaire ont circulé via des revendeurs en Asie du Sud-Est, et le préjudice dépassait 86 millions de dollars selon les estimations d’analystes dont nous avons rendu compte le 9 octobre 2026. La différence avec le cas du jour : chez Ledger, c’était le circuit de distribution qui était attaquable ; chez Keystone, c’est la preuve elle-même.

Phrase de récupération et clés privées restent intactes, selon l’entreprise

Une phrase de récupération, souvent appelée seed phrase, est la liste de douze ou vingt-quatre mots dont se déduisent toutes les clés d’un portefeuille. Cette liste naît sur l’appareil et ne le quitte jamais en fonctionnement normal. C’est précisément pourquoi une intrusion dans une boutique en ligne ne l’atteint pas : on y trouve des commandes, pas des clés.

Cette séparation constitue la valeur réelle de l’autoconservation, et elle tient dans ce cas. Celui qui conserve correctement sa phrase de récupération n’a rien à faire après cet incident. Si vous doutez de la solidité de votre propre conservation, les erreurs courantes figurent dans notre guide sur la conservation sûre de la phrase de récupération.

La date de livraison sépare les appareils concernés des autres

Le fabricant trace la limite au jour de l’intrusion. Les appareils livrés avant le 20 octobre 2026 restent utilisables en sécurité, selon l’entreprise, à condition de passer la vérification. Cela concerne la grande majorité des appareils en circulation, car la clé n’a été connue qu’avec l’intrusion.

Il en va autrement des appareils expédiés après le 20 octobre avec l’ancienne clé. Ces clients doivent, selon le fabricant, s’adresser au support et faire effectuer une vérification supplémentaire avant d’utiliser l’appareil. Un second coup d’œil à la confirmation d’expédition dans votre boîte de réception indique donc dans lequel des deux groupes vous vous trouvez.

Indépendamment de cela, la règle pour un appareil neuf ne change pas : un appareil d’occasion ou provenant d’un revendeur inconnu ne se configure jamais avec une phrase de récupération fournie dans la boîte, et un appareil qui veut confirmer un paiement sans affichage clair mérite la méfiance.

Keystone ne réclame aucun appareil, toute demande de retour est une escroquerie

C’est là que se situe le principal risque quotidien de cet incident, et il n’a rien de technique. Une annonce de destruction d’appareils est le modèle parfait d’une escroquerie : un courrier au nom du fabricant, un prétendu rappel, un programme d’échange, une « migration de sécurité ». Les adresses de livraison qui ont fuité s’y prêtent, car un message portant vos nom et adresse paraît crédible.

Keystone est clair sur deux points. L’entreprise ne demande à personne de renvoyer un appareil, et quiconque le réclame est, selon le fabricant, un escroc. Dans sa déclaration du 26 octobre 2026 intitulée « Statement Regarding the Security Incident on Our Official Website and Customer Guidance », l’entreprise reconnaît aussi, via son compte @KeystoneWallet, un manquement sur les données clients : elle n’a pas tenu son engagement de les supprimer dans les délais et en assume la responsabilité. Un outil de suppression automatique avait échoué sans que cela se remarque ; la durée de conservation passe désormais de 180 à 90 jours.

Retenez la règle simple : personne qui vous veut du bien n’a besoin de votre appareil ni de vos douze mots. Tout message qui réclame l’un ou l’autre peut être supprimé sans autre vérification.

25 964 enregistrements de commande et l’adresse du domicile comme risque propre

Le volet données de l’incident produit des effets plus durables que le volet clé. Une adresse de livraison ne se change pas comme un mot de passe, et l’association du nom, de l’adresse et de l’information « possède un portefeuille matériel » a de la valeur pour des criminels. Cela va des courriels d’hameçonnage ciblés au cas rare mais documenté de contrainte physique.

Concrètement : attendez-vous dans les prochains mois à des courriers et des messages qui orthographient correctement votre nom. Cette exactitude ne prouve rien ; elle découle de la fuite. Si vous commandez à nouveau, choisissez un circuit de livraison qui évite que votre adresse personnelle n’atterrisse dans la prochaine base de données.

La vérification est-elle de nouveau fiable après le changement de clé ?

En partie, et cette réponse honnête est plus utile qu’une formule rassurante. Pour les appareils neufs issus de la production basculée, ce qui valait avant vaut de nouveau : une clé que seuls le fabricant et l’appareil connaissent. Pour les appareils porteurs de l’ancienne clé déjà chez les clients, la vérification en ligne peut toujours confirmer un appareil authentique, mais elle ne peut plus exclure avec certitude une copie fabriquée avec la clé dérobée.

Cette faiblesse ne s’éteindra qu’une fois l’ancien lot disparu du marché, et cela prendra des années. D’ici là, le circuit d’achat pèse plus lourd que la coche de vérification : un appareil acheté directement au fabricant ou chez un revendeur agréé, scellé, sans mots fournis dans la boîte.

Quatre incidents sur des portefeuilles matériels cette année, quatre failles différentes

Le cas Keystone n’est pas isolé, mais il ne répète aucun des précédents. Mis côte à côte, les incidents de cette année ont chacun touché un point différent entre la fabrication et l’utilisateur, et c’est là que réside la vraie leçon :

• Ledger, octobre 2026 : appareils manipulés avec une puce supplémentaire via des revendeurs en Asie du Sud-Est. Faille : le circuit de distribution.
• Coldcard, 2026 : une erreur dans la génération de la phrase de récupération qui rendait les clés privées reconstituables. Faille : la génération d’aléa dans l’appareil.
• Foundation, 25 octobre 2026 : un incident distinct, au cours duquel des courriels d’hameçonnage ont été envoyés depuis les domaines officiels du fabricant ; plus de 23 000 tentatives selon l’entreprise, auxquelles s’ajoutent environ 5 600 adresses postales et 5 200 numéros de téléphone issus d’anciennes copies de base de données. Aucun indice d’appareils compromis ou de clés privées touchées. Faille : les canaux de communication.
• Keystone, du 20 au 26 octobre 2026 : la preuve d’authenticité elle-même. Faille : un secret non remplaçable dans un site attaquable.

Deux fabricants en deux jours, et dans les deux cas une suppression automatique d’anciennes données clients a échoué. Voilà ce qui relie ces affaires plus fortement que la technique : la faille n’était pas l’appareil, mais l’entreprise autour. Le portefeuille matériel lui-même a tenu ses promesses dans les quatre cas, puisque les clés privées sont restées dans l’appareil. Celui qui en tire une conséquence la tire sur la trace de données laissée par l’achat et sur le circuit de livraison, pas sur le choix de la puce.

Appareils Keystone : la date de livraison du 20 octobre tranche

1. Ressortez la confirmation d’expédition. Si la livraison est antérieure au 20 octobre 2026, il n’y a rien à faire selon l’entreprise, tant que la vérification du fabricant confirme l’appareil. Livré après : contactez le support et faites effectuer une vérification supplémentaire. Si un achat est de toute façon prévu, comparez d’abord les circuits de livraison dans le comparatif des portefeuilles matériels.
2. Ignorez tout message de rappel. Keystone ne réclame aucun appareil. Quiconque vous invite à renvoyer votre appareil, à rejoindre un « programme d’échange » ou à saisir vos mots cherche à vous escroquer, nom et adresse exacts compris. Pour patienter sans appareil, les options figurent dans le comparatif des portefeuilles logiciels.
3. Ne déplacez vos avoirs qu’en cas de doute réel. Un transfert d’avoirs n’est pas nécessaire du seul fait de cet incident. Il le devient si votre appareil échoue à la vérification ou provient d’une source incertaine : alors nouvel appareil, nouvelle phrase de récupération, avoirs transférés. Si vous préférez ne pas conserver vos cryptos vous-même entre-temps, les points de chute agréés figurent parmi les plateformes crypto réglementées.

Le chiffre de 18 835 décrit un lot en stock, pas les appareils rangés dans les tiroirs de la clientèle. Le fabricant a lui-même tracé cette distinction, et elle constitue le cœur de l’information. D’autres détails figurent dans la couverture de The Hacker News.

(Au 28 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)