Keystone va détruire 18 835 wallets crypto après un piratage

Le fabricant de wallets crypto matériels Keystone a annoncé le 26 octobre 2026 la destruction de 18 835 appareils invendus. S’ajoute à cela la suspension des expéditions après le piratage de son site le 20 octobre. Selon Keystone, le pirate crypto a obtenu une clé qui permettrait à des appareils contrefaits de réussir les contrôles d’authenticité de la marque ainsi que 25 964 fiches d’acheteurs.

Que s’est-il passé lors du piratage de Keystone ?

Un hacker crypto a accédé au site de Keystone le 20 octobre 2026 par une faille dans un outil tiers de suivi des données. L’intrusion a exposé 25 964 fiches d’acheteurs couvrant 2024 à 2026 :

• noms ;
• coordonnées ;
• adresses de livraison ;
• informations de commande.

Keystone ajoute que 12 873 fiches de commandes non payées ont pu être touchées. En additionnant les deux chiffres, on compte donc jusqu’à 38 837 fiches concernées par ce piratage crypto. L’entreprise soutient fermement que les phrases de récupération n’ont pas été exposées. Il en est de même pour les clés privées et les identifiants de wallet crypto. Néanmoins, cette affirmation n’a pas été confirmée par une source indépendante.

Pourquoi Keystone détruit-il 18 835 wallets crypto invendus ?

Keystone détruit 18 835 wallets crypto invendus parce que la clé d’authenticité exposée est intégrée à chaque appareil pendant la production. Elle ne peut donc pas être modifiée. Une clé d’authenticité est un identifiant secret gravé dans l’appareil, que les contrôles en ligne vérifient pour confirmer son origine. Avec elle, des appareils contrefaits pourraient passer pour authentiques.

Les 18 835 wallets crypto n’ont pas encore été vendus. Ce qui permet à Keystone de les retirer avant qu’ils n’arrivent chez des clients. À ce stade, Keystone ne précise d’ailleurs pas si des appareils contrefaits circulent déjà.

Sur la conservation des données, Keystone reconnaît toutefois une défaillance. Un outil d’effacement automatique est en effet tombé en panne sans que l’entreprise le détecte, laissant ainsi des fiches au-delà du délai de 180 jours.

Nous n’avons pas tenu notre engagement d’effacer les données clients à temps, et nous assumons la responsabilité de cet échec.

Keystone, fabricant de portefeuilles matériels, publication sur X, 26 octobre 2026 (traduit de l’anglais)

Élément	Volume	Statut selon Keystone
Fiches d’acheteurs (2024 à 2026)	25 964	Exposées : noms, coordonnées, adresses, commandes
Fiches de commandes non payées	12 873	Peuvent avoir été touchées
Clé d’authenticité	1 clé, non modifiable	Exposée
Phrases de récupération, clés privées	Non précisé	Non exposées

Que change cet incident crypto pour un acheteur en France ?

Selon Keystone, les wallets crypto livrés avant le 20 octobre 2026 restent sûrs s’ils réussissent l’authentification. Les clients qui ont reçu après cette date un appareil muni de l’ancienne clé doivent cependant le faire vérifier avant tout usage. Keystone ajoute que les utilisateurs n’ont également pas à déplacer leurs fonds du seul fait de cette intrusion.

L’entreprise s’engage aussi à remplacer la clé d’authenticité dans les nouveaux wallets crypto. Et pas que ! Elle basculera les ventes du site en précommande et ramènera la conservation des données clients à 90 jours, contre 180 aujourd’hui (soit deux fois moins).

Bon à savoir : un autre fabricant, Foundation, a signalé la veille une atteinte distincte. L’entreprise a recensé plus de 23 000 tentatives d’hameçonnage crypto depuis des adresses qui semblaient officielles. Elle n’a trouvé aucune preuve de compromission des appareils Passport ni des clés privées. D’anciennes copies de base de données avaient échappé à son effacement à 60 jours : environ 5 600 adresses postales et 5 200 numéros de téléphone sont accessibles, sans que Foundation puisse confirmer combien l’ont été.

Les deux piratages crypto touchent donc d’abord des données de vente, auxquelles s’ajoute chez Keystone une clé d’authenticité. Par ailleurs, un effacement prévu n’a pas eu lieu dans les deux cas. Reste à savoir si des appareils contrefaits portant l’ancienne clé apparaissent et si Keystone détaille son enquête, sans date annoncée à ce stade. Pour un acheteur en tout cas, l’enjeu des prochaines semaines sera de contrôler l’authenticité d’un wallet crypto neuf auprès de son fabricant ou d’un revendeur officiel.