Keystone confirme une fuite de données : « Nous vous devons des excuses »

Le fabricant de portefeuilles matériels Keystone a rendu publique samedi une intrusion dans sa propre boutique en ligne. Noms, coordonnées, adresses de livraison et détails de commande de clients ont été siphonnés. Les phrases de récupération, les clés privées et les données de paiement ne sont pas concernées selon l'entreprise. Pour vous, acheteur, cela signifie que vos avoirs ne sont pas en danger du fait de cet incident, mais que votre adresse et le fait que vous possédiez un portefeuille matériel le sont bel et bien.

La distinction est importante, et elle détermine ce qui est utile maintenant et ce qui vous mettra au contraire en difficulté. La réaction la plus dangereuse à une telle annonce est la réaction précipitée : qui réinitialise son appareil dans la panique, déplace ses pièces n'importe où ou donne suite à une prétendue opération d'échange ne perd pas son argent au bout du compte à cause de l'attaque initiale. Il le perd à cause de la vague d'escroqueries qui suit.

Ce que Keystone a divulgué : accès le 20 octobre, confirmation le 23

Keystone a remarqué l'accès non autorisé au site de l'entreprise le 20 octobre 2026, selon sa propre présentation. Après examen de l'activité de l'interface chez Shopify, le prestataire de boutique du fabricant, l'entreprise a confirmé le 23 octobre qu'un tiers avait obtenu des données d'expédition de clients. Keystone a rendu l'incident public le 24 octobre via son canal sur X.

Le message s'ouvre sur une phrase que les entreprises formulent rarement aussi directement après une fuite de données : « We owe you an apology », soit : nous vous devons des excuses. Keystone écrit ensuite avoir bloqué l'accès, comblé la faille exploitée, ouvert une enquête et commencé à prévenir les clients concernés par courriel. Un rapport détaillé est annoncé.

Plusieurs indications centrales manquent à ce jour. Keystone ne donne ni le nombre de clients concernés, ni la période dont proviennent les commandes dérobées, ni la voie par laquelle l'attaquant est entré. Aucune ventilation par pays non plus, et donc aucune réponse à la question du nombre d'acheteurs européens figurant dans le jeu de données. Qui veut savoir s'il en fait partie dépend pour l'heure de la notification de l'entreprise. Le communiqué du fabricant est l'unique source primaire existante sur le sujet.

Ces données ont fui, celles-là non selon l'entreprise

Selon la présentation de Keystone, le jeu de données comprend noms, coordonnées, adresses de livraison ainsi que les détails de commande, c'est-à-dire les articles achetés et les prix payés. Ce dernier point n'est pas accessoire : le modèle commandé indique quel appareil une personne utilise, et le prix, combien elle a investi.

Ne sont expressément pas concernées, selon le fabricant, les données de carte bancaire et de compte, les phrases de récupération, les clés privées et les mots de passe des appareils. Cette indication vient de l'entreprise elle-même et n'a pas été vérifiée de façon indépendante à ce jour ; Keystone n'a pas produit d'expertise technique par un tiers.

L'affirmation reste néanmoins techniquement plausible, et pour une raison simple.

La phrase de récupération reste uniquement sur l'appareil

Un portefeuille matériel est un appareil qui produit et conserve vos clés privées sans jamais les transmettre à un ordinateur ni au réseau. Un virement est signé sur l'appareil même, et seule la signature achevée en sort. Le fabricant n'apprend rien de vos clés, puisqu'il ne les reçoit jamais. Le détail du fonctionnement figure dans notre explication sur ce que fait réellement un portefeuille matériel.

Ce qu'une boutique en ligne sait de l'appareil

La boutique en ligne d'un fabricant est entièrement séparée de cette mécanique. Elle traite des commandes, donc adresse, article, prix et statut d'expédition. Entre le système de boutique et la puce de l'appareil, il n'existe aucune liaison par laquelle un attaquant pourrait atteindre des clés depuis une base de clients. D'où le principe qui devrait régir toute réaction à cet incident : une fuite de données chez le vendeur est un incident de protection des données, non un incident de portefeuille. Vous n'avez pas à réinitialiser votre appareil, ni à créer un nouveau portefeuille, ni à déplacer des avoirs.

L'interface Shopify : ce que l'indication dit et ce qu'elle ne dit pas

Keystone cite dans son communiqué l'examen de l'activité de l'interface chez Shopify comme la voie par laquelle l'ampleur de la fuite a été établie. Cette indication se prête aisément à un malentendu. Elle dit que les journaux de la plateforme de boutique ont montré quelles données avaient été consultées. Elle ne dit pas que la plateforme Shopify elle-même aurait été compromise, et Keystone ne le prétend pas non plus.

Une interface par laquelle un système de boutique délivre des données de commande est un outil ordinaire pour l'exploitant. Elle est protégée par des clés d'accès et souvent ouverte à des programmes complémentaires qui prennent en charge l'expédition, le marketing ou la comptabilité. Lorsqu'une telle clé tombe en de mauvaises mains, ou qu'un programme complémentaire raccordé est lui-même attaqué, le fichier peut être siphonné sans que personne ait à s'introduire dans la boutique. Laquelle de ces voies a été empruntée ici, Keystone ne l'a pas communiqué à ce jour.

Les quatre arnaques contre lesquelles Keystone met lui-même en garde

Le fabricant énonce assez précisément ce à quoi les personnes touchées doivent désormais s'attendre. Des criminels se présentent comme Keystone, par courriel, téléphone, message court ou voie postale. Ce qui est proposé : des remboursements, des appareils de remplacement gratuits et une aide pour une commande ou une adresse de livraison prétendument erronée. L'entreprise précise à ce sujet qu'elle ne demande jamais une phrase de récupération ni une clé privée.

La plus dangereuse de ces arnaques est l'appareil de remplacement. Elle fonctionne parce qu'elle a l'apparence d'un geste commercial : un colis arrive, contenant un appareil et une note indiquant que l'ancien modèle est concerné par l'incident et que le nouveau est déjà configuré. Qui utilise la phrase de récupération jointe, ou saisit la sienne dans un appareil étranger, remet le contrôle de ses avoirs. D'où la règle sans exception : une phrase de récupération ne se saisit jamais dans un appareil que vous n'avez pas commandé vous-même, et jamais dans un site web ou un formulaire. Les signaux d'alerte habituels de tels messages, nous les avons rassemblés après des cas antérieurs, dans l'aperçu consacré au phishing après une fuite de données.

La présence de la voie postale dans cette énumération fait la différence avec une fuite de courriels ordinaire. Une lettre avec l'adresse exacte, la bonne date de commande et le nom de modèle correspondant paraît authentique parce qu'elle en a l'air. Les éléments qui la rendent crédible proviennent du jeu de données.

L'adresse de livraison est le véritable dommage

Une adresse électronique se change. Une adresse de domicile, non, du moins pas sans déménager. Voilà pourquoi les spécialistes de la sécurité s'expriment plus nettement sur les fuites chez les vendeurs à distance d'appareils crypto que sur d'autres fuites de données.

La développeuse en sécurité Taylor Monahan, connue dans le secteur sous le nom de Tay, a souligné, selon des informations de crypto.news, que de telles données d'expédition peuvent exposer les acheteurs à des menaces physiques, jusqu'au vol et à l'enlèvement. Le milieu désigne cela par l'expression wrench attack : une attaque qui ne s'en prend pas au chiffrement, mais à la personne qui connaît la clé. Aucun élément n'établit à ce jour que les données dérobées chez Keystone auraient déjà conduit à des agressions physiques.

L'appréciation mesurée : le jeu de données contient une information qu'une liste d'adresses issue de n'importe quelle boutique en ligne ne contient pas. Il relie une adresse à l'affirmation qu'y habite une personne qui conserve elle-même des cryptoactifs et a dépensé de l'argent pour cela. Qui faisait jusqu'ici livrer ses appareils à son domicile a, après cet incident, une raison de procéder autrement, par exemple via un point de retrait ou une adresse de livraison distincte du logement. Pour le choix d'un appareil, cela devient un critère à côté des critères techniques : notre comparatif des portefeuilles matériels indique quels fabricants livrent par quelles voies.

La promesse des 180 jours et la politique de confidentialité du 7 juillet

L'ampleur du dommage dépend de la durée pendant laquelle Keystone conserve les données de commande. Il existe à ce sujet deux déclarations publiques de l'entreprise, et elles ne concordent pas.

Le portail spécialisé allemand block-builders.de a relevé que Keystone avait affirmé sur X, le 5 janvier 2026, que les données d'expédition étaient définitivement supprimées 180 jours après la commande. La politique de confidentialité de l'entreprise est plus restrictive. Il y est écrit que sont supprimées les informations de commande de tout client n'ayant pas passé commande au cours des 180 derniers jours. Selon cette formulation, le délai court donc à compter de la dernière commande, et non de chacune. Pour qui a acheté deux fois, la commande la plus ancienne reste ainsi conservée. Cette analyse a été menée par cryptoticker.io le 25 octobre 2026, sur la base de la politique de confidentialité datée du 7 juillet 2026 figurant sur le site de l'entreprise.

Que le jeu de données ne contienne effectivement que des commandes des 180 derniers jours reste donc ouvert. Interrogé sur les réseaux sociaux, Keystone ne s'est pas engagé sur ce point et a renvoyé à l'enquête en cours et au rapport annoncé. Une appréciation sur le respect de l'engagement de janvier ne peut être étayée en l'état, et elle n'est expressément pas portée ici.

Yanssie HK Limited à Hong Kong : qui se trouve derrière la marque

Pour les acheteurs européens, une indication de cette même politique de confidentialité compte davantage en pratique que le délai de suppression. Elle désigne comme entreprise responsable la société Yanssie HK Limited, établie à Hong Kong, et se soumet au droit de la région administrative spéciale de Hong Kong.

Le règlement général sur la protection des données s'applique indépendamment de cela lorsqu'un prestataire établi hors de l'Union vend délibérément des biens à des personnes dans l'Union. L'article 27 exige en outre de tels prestataires qu'ils désignent un représentant dans l'Union, auquel les personnes concernées et les autorités de contrôle puissent s'adresser. La politique de confidentialité de Keystone ne mentionne aucun représentant de ce type. Comme voie d'accès, de rectification et d'effacement, elle indique l'adresse du support de l'entreprise et la possibilité de saisir l'autorité de protection des données de son pays.

En pratique : vos droits existent, mais le chemin pour y parvenir est plus long qu'avec un prestataire disposant d'un établissement dans l'Union. Qui veut l'éviter ne contourne pas la question de fond : quelle part conserver soi-même et quelle part laisser chez un prestataire surveillé. Quelles maisons sont soumises à une surveillance, le panorama des plateformes crypto réglementées l'indique.

Droit d'accès au titre de l'article 15, dommages et intérêts au titre de l'article 82

Deux droits importent pour les personnes touchées en Europe. L'article 15 du règlement général sur la protection des données vous donne le droit de savoir quelles données une entreprise a conservées à votre sujet. Dans cet incident, c'est la seule voie fiable pour trancher la question que Keystone a laissée ouverte : de quelle période vos commandes subsistent, et ce qui en figurait dans le jeu de données. La demande s'adresse au support de l'entreprise, elle est possible sans formalité et gratuite.

L'article 82 régit les dommages et intérêts. La Cour fédérale de justice allemande a jugé à ce sujet, le 18 novembre 2024, dans la procédure relative à la fuite de données du réseau social Facebook, sous le numéro VI ZR 10/24, que la simple perte de contrôle sur ses propres données peut fonder un préjudice immatériel. Selon les attendus, il n'est nécessaire ni qu'un usage abusif des données soit survenu, ni que d'autres conséquences négatives sensibles s'y ajoutent. Cette procédure portait sur un fichier de 533 millions d'entrées dans le monde, dont environ six millions de personnes en Allemagne.

Sur le montant, l'arrêt dit peu de choses généralisables. Comptent notamment, selon la jurisprudence, la sensibilité des données concernées, la nature et la durée de la perte de contrôle, et la possibilité de recouvrer ce contrôle. Il n'existe pas de montants solides pour un cas comme celui-ci, et qui vous avance une somme avant que l'ampleur et la période de la fuite soient établies compte avec un chiffre que personne ne connaît encore. Que le droit existe en son principe n'est toutefois plus, depuis la décision de la Cour fédérale de justice, la question litigieuse qu'il était avant 2024.

Trezor, SafePal, Ledger : la voie d'expédition est le maillon le plus faible

L'affaire s'inscrit dans une série devenue remarquablement dense en 2026, et le schéma est chaque fois le même : chaque fois la cryptographie des appareils tient, et chaque fois cède la chaîne formée du système de boutique, du prestataire logistique et des programmes complémentaires raccordés.

Trezor a signalé en août une fuite passant par le prestataire logistique ShipMonk, d'abord pour 13 689 clients ; début septembre se sont ajoutés, selon l'entreprise, environ 67 000 clients américains supplémentaires, avec des commandes des années 2019 à 2021. Ce que les personnes touchées pouvaient faire, nous l'avons consigné dans l'article consacré à la fuite de données Trezor. SafePal a fait état le même mois de 39 798 clients concernés, les données ayant fui par un programme complémentaire de suivi d'expédition. Le cas le plus ancien et le plus connu reste Ledger : après l'incident de 2020, environ 272 853 enregistrements comportant des adresses sont devenus publics, outre près d'un million d'adresses électroniques.

La déclaration complémentaire de Trezor en septembre montre précisément le problème qui se pose aujourd'hui chez Keystone : des commandes de 2019 à 2021 figuraient là dans un fichier, alors que le prestataire avait auparavant confirmé par écrit la suppression des anciennes données. Un délai de suppression promis ne vaut que ce que vaut sa mise en œuvre chez chaque prestataire ayant jamais vu les données.

Pour l'arbitrage entre auto-conservation et conservation par un tiers, cela change peu. La maîtrise des clés reste l'argument le plus fort en faveur d'un appareil personnel, et aucun de ces incidents n'a jamais entraîné une perte d'avoirs par l'appareil lui-même. Ce qui change, c'est le constat que l'achat d'un appareil de sécurité laisse lui-même une trace de données qu'il faut intégrer.

Fuite de données Keystone : la graine est sûre, l'adresse de livraison non

Pour les détenteurs d'un appareil Keystone, il en résulte un ordre de marche limité.

1. Ne rien changer sur l'appareil. Pas de réinitialisation, pas de nouvelle phrase de récupération, pas de déplacement des avoirs. L'incident concerne le système de boutique, non les clés. Si vous envisagiez de toute façon un changement d'appareil, le comparatif des portefeuilles matériels est le bon endroit pour cela, non un courriel vous proposant un appareil de remplacement.
2. Traiter toute prise de contact comme inauthentique jusqu'à preuve du contraire. Ne cliquez sur aucun lien venant d'un message, n'utilisez aucun numéro de rappel figurant dans un courriel, ne saisissez aucune phrase de récupération. Joignez le fabricant via l'adresse de son site saisie par vous-même. Si vous souhaitez par principe conserver moins vous-même, examinez plutôt les prestataires surveillés dans le panorama des plateformes crypto réglementées.
3. Demander l'accès au titre de l'article 15 et attendre le rapport. Un courriel sans formalité au support précise quelles données de commande sont encore conservées. Attendez le rapport détaillé annoncé par l'entreprise avant d'envisager des démarches plus poussées. Si vous réfléchissez en parallèle à ne pas placer de petits montants sur un appareil, les options figurent dans le comparatif des portefeuilles logiciels.

Le seul chiffre qui manque encore à cet incident est celui des personnes touchées. Jusqu'à ce que Keystone le donne, chaque acheteur doit partir du principe qu'il en fait partie.

(Au 25 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)