Keystone, un fabricant de portefeuilles matériels pour cryptomonnaies, a indiqué qu'un accès non autorisé à sa boutique en ligne avait exposé les noms, coordonnées, adresses de livraison et détails de commandes de clients, selon un communiqué de l'entreprise publié le 24 octobre.
L'entreprise a déclaré avoir détecté l'accès non autorisé à sa boutique hébergée sur Shopify le 20 octobre et l'avoir confirmé le 23 octobre. Les données de paiement, coordonnées bancaires, phrases de récupération, clés privées et mots de passe des portefeuilles n'ont pas été touchés, selon Keystone.
Keystone avait publiquement promis de supprimer les données de livraison 180 jours après une commande et affirmait, contrairement à d'autres fabricants de portefeuilles, ne pas conserver les données clients indéfiniment. Les clients concernés affirment le contraire : l'un dit avoir acheté son portefeuille il y a plus de deux ans, un autre indique que 214 jours s'étaient écoulés depuis sa dernière commande, bien au-delà du délai promis.
Keystone s'est excusé auprès de ses clients. « Vous nous avez confié ces données, et nous regrettons de ne pas avoir su les protéger », a déclaré l'entreprise. Elle a aussi averti les utilisateurs de ne jamais communiquer leur phrase de récupération ou leurs clés privées à qui que ce soit.
Certains clients ont signalé des tentatives d'arnaque où les attaquants citaient des détails de leurs commandes passées, ce qui soulève des inquiétudes sur le phishing et la sécurité physique des propriétaires de portefeuilles matériels dont l'adresse a été exposée.
Keystone n'a pas précisé combien de clients ont été touchés, comment la faille s'est produite, ni l'identité de l'attaquant.
Un cas similaire s'était produit dans le secteur en 2020, lorsqu'une faille chez Ledger, concurrent de Keystone, avait exposé les données d'environ 272 000 clients ; certains avaient ensuite reçu par courrier des lettres frauduleuses leur demandant leur phrase de récupération.
