La fuite de données Keystone, révélée le samedi 24 octobre 2026, touche les acheteurs de ses portefeuilles physiques. Ces petits boîtiers conservent hors ligne les clés d’accès aux cryptomonnaies. Un tiers a récupéré sur sa boutique en ligne les noms, adresses et achats de ses clients, selon Cointelegraph.
Une intrusion détectée le 20 octobre
Keystone a repéré l’accès non autorisé à son site le 20 octobre. Elle a confirmé le vol trois jours plus tard, avec l’aide de Shopify, la société qui héberge sa boutique. Le fichier contient les noms, coordonnées, adresses de livraison, produits achetés et prix payés. Les données bancaires, les phrases de récupération et les clés privées des wallets n’ont pas été touchées. Keystone dit avoir bloqué l’accès, corrigé la faille et prévenu par courriel les clients concernés. Elle n’en a pas indiqué le nombre.
La promesse des 180 jours contestée
Keystone annonçait en 2023 ramener à 180 jours la conservation des données de ses clients. Plusieurs acheteurs disent pourtant avoir reçu l’avis de fuite pour des commandes plus anciennes. La CNIL a déjà sanctionné un fabricant de wallets sur ce terrain. Elle a infligé le 10 octobre 2024 une amende de 750 000 euros à un vendeur de portefeuilles de cryptomonnaies. Sa liste des sanctions retient deux griefs, la sécurité et la durée de conservation des données. La presse a identifié Ledger, dont les noms, adresses et téléphones de 272 000 clients avaient été publiés fin 2020.
Fuite de données Keystone : un fichier de détenteurs de cryptomonnaies
Cette liste vaut plus qu’un carnet d’adresses ordinaire, puisqu’elle désigne des détenteurs de cryptomonnaies. Les attaques physiques contre ces détenteurs se multiplient en France. Le parquet national anticriminalité organisée recensait le 11 septembre plus de 70 enlèvements ou séquestrations depuis janvier. Il en comptait 67 sur toute l’année 2025.
Dans la nuit du 21 au 22 octobre, trois hommes cagoulés ont ligoté un couple de sexagénaires à Mont-de-Marsan. Ils exigeaient des cryptomonnaies et sont repartis avec un ordinateur portable et un téléphone. Les enquêteurs pensent que leur cible était le fils du couple, qui travaille dans le secteur. Il a été placé sous protection policière.
Des cibles choisies dans des fichiers volés
Si rien ne relie l’affaire landaise à Keystone, on sait que des fichiers volés ont pourtant déjà servi à choisir des victimes. Une famille séquestrée à Taverny (Val-d’Oise) avait été repérée dans la base dérobée chez Waltio, selon Le Parisien. Ce service français d’aide à la déclaration fiscale avait révélé sa fuite en janvier.
Un portefeuille physique protège contre le piratage, pas contre une visite à domicile. L’agresseur y exige le code de l’appareil ou la phrase de récupération, ces mots qui permettent de restaurer un wallet. Le point faible se déplace alors vers le fichier client du vendeur.
Faux remboursements et faux remplacements
Le risque le plus immédiat pour les clients de Keystone reste l’hameçonnage. Le fabricant met en garde contre les appels, courriels, SMS et courriers proposant un remboursement ou un appareil de remplacement. Il affirme ne jamais envoyer de tels messages. Ces sollicitations cherchent à obtenir la phrase de récupération du client. Cette phrase ne se saisit jamais sur un site et ne se confie à personne. C’est la première des règles pour protéger ses cryptomonnaies.