Le fabricant de portefeuilles cryptographiques Keystone va détruire près de 19 000 appareils après une faille de sécurité
La violation a révélé 25 964 enregistrements d’acheteurs, certains conservés au-delà de la politique de suppression de 180 jours de Keystone après la panne d’un outil automatisé sans que l’entreprise ne s’en aperçoive.
Le fabricant de portefeuilles matériels Keystone a annoncé qu'il détruirait près de 19 000 appareils invendus et suspendrait les expéditions après qu'une violation de son site Web ait révélé des informations client et une clé qui pourrait permettre aux portefeuilles contrefaits de passer les contrôles d'authenticité.
Un attaquant a accédé au site Web de l'entreprise le 20 octobre grâce à une faille dans un outil de surveillance des données tiers, a déclaré Keystone lundi dans un article sur X. L’attaque a exposé 25 964 enregistrements d’acheteurs de 2024 à 2026, y compris les noms, les coordonnées, les adresses de livraison et les informations de commande. 12 873 autres enregistrements de caisses impayées pourraient avoir été affectés.
Cette violation s'ajoute à une série d'attaques contre les utilisateurs de portefeuilles matériels cette année. Chez Ledger, les criminels ont installé des appareils vendus par l'intermédiaire de revendeurs en Asie du Sud-Est, avec des composants cachés capturant des phrases de récupération lors de l'installation. De même, une faille dans le logiciel de génération de semences de Coldcard permet aux attaquants de reconstruire les clés privées et de vider les portefeuilles à distance.
La clé Keystone volée est intégrée aux appareils pendant la production et ne peut pas être modifiée. Il permet aux portefeuilles de passer les contrôles d'authenticité en ligne, ce qui augmente le risque que de faux appareils semblent authentiques et mettent en danger les fonds des utilisateurs, selon l'entreprise. La société a annoncé qu'elle détruirait 18 835 unités invendues.
Keystone a déclaré que la violation n'avait pas révélé de phrases de récupération, de clés privées ou d'identifiants de portefeuille.
Certains dossiers clients auraient dû être supprimés conformément à la politique de conservation de 180 jours de Keystone, mais un outil de suppression automatisé a échoué sans que l'entreprise ne détecte le problème, a-t-il indiqué.
"Nous n'avons pas respecté notre engagement d'effacer les données des clients à temps, et nous acceptons la responsabilité de cet échec", a écrit Keystone.
La mise à jour de Keystone est intervenue un jour après que la Foundation, fabricant de portefeuilles matériels, a révélé une violation distincte dans laquelle les attaquants ont envoyé des e-mails de phishing qui semblaient provenir de ses domaines officiels.
La Fondation a déclaré avoir identifié plus de 23 000 tentatives de phishing par courrier électronique. Il n’a trouvé aucune preuve que les appareils Passport ou les clés privées aient été compromis.
La Fondation a également trouvé des copies de bases de données plus anciennes que son processus de suppression de données de 60 jours avait manqué. Dans une mise à jour, il a déclaré que les attaquants pouvaient accéder à des enregistrements contenant environ 5 600 adresses postales et 5 200 numéros de téléphone, sans toutefois pouvoir confirmer combien d'entre eux avaient été consultés.
Traduit automatiquement de l'anglais
Pas encore recoupée
Seule la rédaction CoinDesk rapporte cette information pour l’instant. Elle reste « source unique » tant qu’une autre rédaction ne l’a pas confirmée.
- CoinDesk27 oct., 12:13
| Éditeur CoinDesk (niveau établi) | +76 |
| Résumé détaillé | +2 |
| Total | 78 |
Méthode : les dépêches sont regroupées d’après les mots de leur titre et de leur résumé ; chaque rédaction compte une fois ; les chiffres sont lus tels que publiés. Rien ici n’est rédigé par une IA.