Keystone, fabricant de portefeuilles matériels de cryptomonnaie, a récemment signalé une violation de sécurité sur son site web, indiquant que des informations client avaient été exposées aux attaquants, suscitant des inquiétudes concernant des arnaques ciblées et d’éventuelles attaques physiques.
Activité suspecte détectée
La société a annoncé samedi avoir détecté une activité suspecte plus tôt dans la semaine et a confirmé vendredi, après avoir examiné l’activité de l’API avec Shopify, qu’un tiers non autorisé avait accédé aux informations d’expédition des clients. Ces données comprenaient des noms, des coordonnées, des adresses de livraison et d’autres détails de commande, y compris les articles achetés. Keystone a déclaré avoir bloqué l’accès, corrigé la vulnérabilité, ouvert une enquête et contacté les clients concernés.
Risques de phishing et d’attaques physiques
Keystone a averti que les informations exposées pourraient être utilisées pour des attaques de phishing ciblées. Par ailleurs, le chercheur en sécurité Taylor Monahan a évoqué des préoccupations sur le fait que la fuite d’adresses d’expédition pourrait exposer les clients à des attaques physiques et des enlèvements. Selon la société de sécurité blockchain CertiK, il a été enregistré 52 attaques de type « wrench » dans le monde au premier semestre 2026, une augmentation de 33 % par rapport à l’année précédente. Ces crimes, souvent appelés « attaques au niveau du clé », impliquent d’utiliser des menaces physiques ou de la violence pour forcer les détenteurs de cryptomonnaies à céder leurs actifs.
Questions sur la gestion des données client
La violation a également soulevé des questions quant à la gestion des anciennes informations clients par Keystone. Dans un article de blog de 2023, la société avait annoncé une réduction de sa période de conservation des données clients à 180 jours suite à des incidents de sécurité touchant d’autres fabricants de portefeuilles matériels. Cependant, certains clients ont rapporté avoir reçu des notifications de violation malgré l’achat de leurs dispositifs plus de deux ans auparavant, soulevant des doutes sur le traitement des informations conservées par Keystone.
Expériences des clients concernés
Un utilisateur sur la plateforme X, se faisant appeler « OG DEGEN », a raconté avoir reçu un appel d’un escroc prétendant être un agent des forces de l’ordre enquêtant sur une affaire de fraude. L’utilisateur suspectait que le fraudeur avait obtenu ses informations via une commande de Keystone passée en 2024, en raison des détails personnels mentionnés. Un autre utilisateur, « trintaetres », a également rapporté avoir reçu une notification par e-mail malgré l’achat de son appareil il y a plus de deux ans.
Réaction de Keystone et enquête en cours
Cointelegraph a tenté de contacter Keystone pour obtenir des précisions sur la façon dont des informations clientes de commandes effectuées plus de 180 jours auparavant pouvaient avoir été exposées, ainsi que sur le nombre de clients touchés. La société n’a pas répondu dans les délais impartis à la publication de cet article.