Keystone va détruire 18 835 portefeuilles matériels invendus après le vol par des attaquants de la clé qui prouve l’authenticité de ses appareils

Keystone est allée plus loin que dans sa première notification de faille, samedi. Dans une mise à jour lundi, le fabricant de portefeuilles matériels a indiqué qu’un attaquant avait exploité une faille dans un outil de surveillance tiers de son site web, détectée et bloquée le 20 octobre, et dérobé la clé d’authentification inscrite dans chaque appareil en usine. La clé ne pouvant pas être modifiée, Keystone détruira 18 835 portefeuilles invendus qui la contiennent, suspendra l’expédition des commandes en ligne et basculera sa boutique en précommande jusqu’à ce que des appareils dotés d’une nouvelle clé soient disponibles, selon CoinDesk, The Hacker News et Decrypt.

La clé sert à la vérification d’authenticité en ligne, et non aux phrases de récupération, aux clés privées ou à la signature. Quiconque la détient pourrait fabriquer des contrefaçons capables de passer cette vérification. Selon Keystone, les appareils livrés avant le 20 octobre peuvent être utilisés normalement s’ils passent la vérification ; les propriétaires ayant reçu un appareil après cette date doivent contacter l’assistance avant de l’utiliser. L’entreprise affirme qu’elle ne demandera jamais à ses clients de renvoyer un appareil, et que les messages de rappel doivent donc être considérés comme des arnaques.

Par ailleurs, Keystone a indiqué que 25 964 dossiers d’acheteurs de 2024 à 2026 avaient été exposés, et a reconnu que son outil de suppression automatique n’avait pas effacé les données dans les délais. La durée de conservation est désormais de 90 jours.