Keystone va détruire 18 835 wallets crypto après un piratage

Le fabricant de wallets crypto matériels Keystone a annoncé le 26 octobre 2026 la destruction de 18 835 appareils invendus. S'ajoute à cela la suspension des expéditions après le piratage de son site le 20 octobre. Selon Keystone, le pirate crypto a obtenu une clé qui permettrait à des appareils contrefaits de réussir les contrôles d'authenticité de la marque ainsi que 25 964 fiches d'acheteurs.

En bref

• 18 835 wallets crypto invendus seront détruits et les expéditions sont suspendues (Keystone, 26 octobre 2026).
• Le site a été piraté le 20 octobre via un outil tiers de suivi des données : 25 964 fiches d'acheteurs, de 2024 à 2026, sont exposées.
• Une clé d'authenticité gravée à la fabrication, non modifiable, a été exposée : elle pourrait faire passer des contrefaçons pour des appareils authentiques.

Que s'est-il passé lors du piratage de Keystone ?

Un hacker crypto a accédé au site de Keystone le 20 octobre 2026 par une faille dans un outil tiers de suivi des données. L'intrusion a exposé 25 964 fiches d'acheteurs couvrant 2024 à 2026 :

• noms ;
• coordonnées ;
• adresses de livraison ;
• informations de commande.

Keystone ajoute que 12 873 fiches de commandes non payées ont pu être touchées. En additionnant les deux chiffres, on compte donc jusqu'à 38 837 fiches concernéespar ce piratage crypto. L'entreprise soutient fermement que les phrases de récupération n'ont pas été exposées. Il en est de même pour les clés privées et les identifiants de wallet crypto. Néanmoins, cette affirmation n'a pas été confirmée par une source indépendante.

Pourquoi Keystone détruit-il 18 835 wallets crypto invendus ?

Keystone détruit 18 835 wallets crypto invendus parce que la clé d'authenticité exposée est intégrée à chaque appareil pendant la production. Elle ne peut donc pas être modifiée. Une clé d'authenticité est un identifiant secret gravé dans l'appareil, que les contrôles en ligne vérifient pour confirmer son origine. Avec elle, des appareils contrefaits pourraient passer pour authentiques.

Les 18 835 wallets crypto n'ont pas encore été vendus. Ce qui permet à Keystone de les retirer avant qu'ils n'arrivent chez des clients. À ce stade, Keystone ne précise d'ailleurs pas si des appareils contrefaits circulent déjà.

Sur la conservation des données, Keystone reconnaît toutefois une défaillance. Un outil d'effacement automatique est en effet tombé en panne sans que l'entreprise le détecte, laissant ainsi des fiches au-delà du délai de 180 jours.

Nous n'avons pas tenu notre engagement d'effacer les données clients à temps, et nous assumons la responsabilité de cet échec. Keystone, fabricant de portefeuilles matériels, publication sur X, 26 octobre 2026 (traduit de l'anglais)

|---------------------------------------|-----------------------|---------------------------------------------------| | Élément | Volume | Statut selon Keystone | | Fiches d'acheteurs (2024 à 2026) | 25 964 | Exposées : noms, coordonnées, adresses, commandes | | Fiches de commandes non payées | 12 873 | Peuvent avoir été touchées | | Clé d'authenticité | 1 clé, non modifiable | Exposée | | Phrases de récupération, clés privées | Non précisé | Non exposées |

Source : Keystone, publication sur X du 26 octobre 2026 ; données relevées le 27/10/2026.

Que change cet incident crypto pour un acheteur en France ?

Selon Keystone, les wallets crypto livrés avant le 20 octobre 2026 restent sûrss'ils réussissent l'authentification. Les clients qui ont reçu après cette date un appareil muni de l'ancienne clé doivent cependant le faire vérifier avant tout usage. Keystone ajoute que les utilisateurs n'ont également pas à déplacer leurs fonds du seul fait de cette intrusion.

L'entreprise s'engage aussi à remplacer la clé d'authenticité dans les nouveaux wallets crypto. Et pas que ! Elle basculera les ventes du site en précommande et ramènera la conservation des données clients à 90 jours, contre 180 aujourd'hui (soit deux fois moins).

Bon à savoir : un autre fabricant, Foundation, a signalé la veille une atteinte distincte. L'entreprise a recensé plus de 23 000 tentatives d'hameçonnage crypto depuis des adresses qui semblaient officielles. Elle n'a trouvé aucune preuve de compromission des appareils Passport ni des clés privées. D'anciennes copies de base de données avaient échappé à son effacement à 60 jours : environ 5 600 adresses postales et 5 200 numéros de téléphone sont accessibles, sans que Foundation puisse confirmer combien l'ont été.

Les deux piratages crypto touchent donc d'abord des données de vente, auxquelles s'ajoute chez Keystone une clé d'authenticité. Par ailleurs, un effacement prévu n'a pas eu lieu dans les deux cas. Reste à savoir si des appareils contrefaits portant l'ancienne clé apparaissent et si Keystone détaille son enquête, sans date annoncée à ce stade. Pour un acheteur en tout cas, l'enjeu des prochaines semaines sera de contrôler l'authenticité d'un wallet crypto neuf auprès de son fabricant ou d'un revendeur officiel.