Crypto : des pirates ont volé la clé qui prouve qu'un portefeuille Keystone est authentique, que faire ?

18 835 portefeuilles crypto tout neufs, encore dans leurs cartons, vont finir au broyeur. C'est la décision annoncée le 26 octobre par Keystone, un fabricant de ces petits boîtiers qui servent à garder ses bitcoins hors d'Internet. Ils ne sont pas cassés, pas piégés, même pas rayés. Ils portent simplement une clé que des pirates connaissent désormais.

Et cette clé-là, c'est celle qui permet de prouver qu'un boîtier Keystone est un vrai.

Deux boîtiers identiques, et plus aucun moyen sûr de dire lequel sort de l'usine

D'abord, la bonne nouvelle : tes cryptos ne risquent rien

Un portefeuille matériel, c'est un petit appareil qui garde la clé secrète de tes cryptos et signe tes paiements sans jamais la laisser sortir. Chez Keystone, il ne se branche même pas : il discute avec ton téléphone par QR codes, à travers l'écran. Le jour où tu l'installes, il te donne une liste de 12 ou 24 mots, la « phrase de récupération ». C'est la clé maîtresse de ton argent : qui a ces mots a tes cryptos. C'est pour ça qu'on les écrit sur papier, et pas dans les notes du téléphone, entre la liste de courses et le code du portail.

Et ces mots ne sont pas concernés. Keystone est formelle : la clé volée ne sert ni à créer les phrases de récupération, ni à signer quoi que ce soit. Si ton Keystone t'a été livré avant le 20 octobre et qu'il passe le contrôle d'authenticité sur la page officielle de vérification, tu peux continuer à t'en servir comme avant. Ouf.

Le tampon « authentique » est entre de mauvaises mains

Alors, qu'est-ce qui a été volé, au juste ? Le 20 octobre, quelqu'un est entré dans le site officiel de Keystone par une faille dans un outil de surveillance fourni par une autre société. De là, il a grimpé jusqu'à deux trésors : les fiches clients de la boutique en ligne, et une clé baptisée « WebAuth ».

Cette clé, Keystone la grave dans chaque boîtier à l'usine. Quand tu vérifies ton appareil sur le site, c'est elle qui répond « oui, je sors bien de chez Keystone ». C'est le tampon officiel qui certifie l'original. Et avec ce tampon en poche, un faussaire peut fabriquer un boîtier modifié qui passe le contrôle sans broncher. Un boîtier piégé, vendu sur une petite boutique en ligne ou une place de marché, qui enverrait ta phrase de récupération à son fabricant au lieu de la garder.

Avec le tampon officiel, n'importe quel faux peut se faire passer pour l'original

Pourquoi détruire 18 835 boîtiers neufs ?

Parce que la clé est gravée pour de bon. Elle ne s'efface pas et ne se réécrit pas, c'est justement ce qui la rendait fiable. Tous les appareils en stock portent donc une clé que les pirates connaissent. Les vendre quand même, ce serait mélanger des vrais et de futurs faux qui auraient exactement la même signature. Personne ne pourrait plus faire la différence.

Keystone a donc choisi la manière forte : broyeur pour tout le stock, livraisons suspendues pour les commandes du site pas encore parties, et passage en précommande jusqu'à ce que de nouveaux boîtiers sortent de l'usine avec une nouvelle clé. Ça fait mal au portefeuille, le vrai, celui de l'entreprise. Mais c'est exactement la bonne décision, et beaucoup de boîtes auraient préféré écouler le stock en croisant les doigts.

18 835 boîtiers qui n'ont rien fait de mal, mais qui portent la mauvaise clé

Pour les appareils livrés après le 20 octobre, Keystone demande de contacter son support avant toute utilisation. Le contrôle sur le site ne suffit plus, puisqu'un faux le passerait aussi.

La fuite qui n'aurait jamais dû exister

Le second butin, ce sont les clients. D'après Keystone, 25 964 fiches d'acheteurs du site, entre 2024 et 2026 : nom, coordonnées, adresse de livraison et détail de la commande. Plus 12 873 paniers abandonnés avec nom et adresse. Pas de carte bancaire, pas de pièce d'identité. Les achats faits sur Amazon ou chez d'autres revendeurs ne sont pas touchés.

Et là, Keystone avoue un truc qui m'a fait grincer des dents. Ces fiches n'auraient plus dû exister : la règle maison était de les effacer au bout de 180 jours. Un outil automatique devait s'en charger, il plantait de temps en temps, et personne ne l'a remarqué. Résultat, des données qui auraient dû disparaître depuis des mois dormaient encore sur le serveur le jour du cambriolage. Keystone a demandé l'effacement à sa plateforme de boutique en ligne, attendu pour le 3 novembre, et passe à 90 jours de conservation. Avec ce message, dans son communiqué : « Nous vous devons des excuses. »

Pourquoi c'est grave, une adresse ? Parce que dans la crypto, une liste d'acheteurs de portefeuilles, c'est une liste de gens qui ont probablement des cryptos chez eux. En 2020, les adresses de plus de 270 000 clients de Ledger, le concurrent français, ont été publiées sur Internet, et certains ont reçu des mois d'arnaques, de faux colis et même des menaces. J'en parlais début septembre avec la fuite des clients Trezor : c'est toujours la même mécanique, et les arnaqueurs ont de la mémoire.

Le genre de courrier qui va arriver chez des clients Keystone, et qui finit à la poubelle

Si tu as un Keystone, ou si tu comptais en acheter un

Trois réflexes, et les deux derniers valent pour toutes les marques :

• ton Keystone est arrivé avant le 20 octobre et passe la vérification : rien ne change ; arrivé après, support d'abord, comme expliqué plus haut ;
• tu reçois un mail, un SMS ou une lettre qui parle de « rappel produit », de « migration de tes fonds » ou de « vérification de ton portefeuille » : c'est une arnaque, Keystone dit noir sur blanc qu'il ne te demandera jamais de renvoyer ton appareil ;
• et quelle que soit la marque, on n'achète un portefeuille matériel que sur le site du fabricant ou chez un revendeur officiel, jamais d'occasion, jamais sur une place de marché où n'importe qui peut vendre.

Et la règle d'or, la seule qui protège vraiment : personne, jamais, n'a besoin de tes 12 ou 24 mots. Pas le support, pas un technicien, pas un formulaire « de sécurité ». Le jour où quelqu'un te les demande, tu as ta réponse.

Pour moi, Keystone s'en sort avec les honneurs sur la gestion de crise : transparence, excuses, stock détruit. Sur la conservation des données, en revanche, c'est un carton rouge, parce qu'un fichier client effacé à temps est un fichier qu'on ne peut pas voler. Et à celui qui a maintenant le tampon officiel dans sa poche : bonne chance pour vendre tes faux, tout le monde est au courant !

Sources

• Keystone sur X, 26 octobre 2026 : le communiqué complet sur la clé volée et les 18 835 appareils
• Blockhead, 27 octobre 2026 : la chronologie et les chiffres de la fuite
• The Hacker News : Keystone va détruire 18 835 portefeuilles
• crypto.news : la clé d'authentification et les conseils aux clients

Article écrit avec l'aide de Claude Code, relu et corrigé par moi.