Keystone détruira 18 835 portefeuilles après le vol de sa clé de vérification, utilisable pour créer de faux appareils.

Le fabricant de portefeuilles matériels Keystone a révélé un incident sérieux dans un communiqué publié le 26 octobre. En effet, un pirate a pénétré dans son site web et a dérobé la clé de vérification de ses appareils. Cette clé sert à prouver qu’un Keystone est authentique. Par conséquent, l’entreprise prévoit de détruire 18 835 portefeuilles.

Une clé de vérification dérobée sur le site de Keystone

Selon l’éditeur, l’attaquant a obtenu un accès au site officiel de Keystone. Ensuite, il en a extrait la clé utilisée par les appareils pour attester de leur authenticité. Autrement dit, il a mis la main sur un élément censé rester strictement secret.

Cette clé intervient lors d’un contrôle en ligne. Les propriétaires peuvent y recourir pour s’assurer que leur portefeuille est bien un produit Keystone d’origine. Le vol touche donc directement la confiance placée dans ce mécanisme.

Ce que la clé permet de faire

Une personne qui détient cette clé peut fabriquer des appareils contrefaits. Ces faux portefeuilles réussiraient le test de vérification en ligne. Ils sembleraient donc légitimes aux yeux d’un acheteur peu méfiant.

La contrefaçon est ici le vrai danger. Par exemple, un utilisateur qui fait confiance à un faux appareil pourrait se faire voler ses cryptomonnaies. D’ailleurs, l’entreprise l’indique clairement dans son communiqué.

Pourquoi ce type de clé est si sensible

Un portefeuille matériel, ou hardware wallet, protège les clés privées qui donnent accès aux fonds. Il les garde hors d’un ordinateur potentiellement infecté. Les utilisateurs achètent ce type d’objet précisément pour sa fiabilité.

Cependant, cette sécurité repose sur un principe simple. L’appareil doit être authentique et ne pas avoir été modifié. C’est pourquoi les fabricants proposent une vérification d’authenticité. Elle repose sur une clé cryptographique propre à la marque.

Si cette clé fuite, la preuve d’authenticité perd toute valeur. En effet, un faux appareil peut présenter exactement les mêmes garanties qu’un vrai. Le contrôle ne distingue alors plus l’original de la copie.

Par ailleurs, le risque ne se limite pas aux appareils déjà vendus. Des contrefaçons pourraient être commercialisées plus tard, sur des places de marché ou par des revendeurs peu scrupuleux. Par conséquent, un acheteur n’aurait aucun moyen simple de s’en rendre compte.

Destruction de 18 835 portefeuilles

Face à cette situation, Keystone a décidé de détruire 18 835 portefeuilles matériels. Ce chiffre ressort du titre de l’annonce. Il montre l’ampleur de la mesure. Détruire un parc entier d’appareils est une décision rare et coûteuse pour un fabricant.

Toutefois, cette réaction se comprend. Une clé de vérification compromise ne se révoque pas toujours facilement sur du matériel déjà produit. L’entreprise semble donc préférer retirer ces appareils plutôt que de laisser un doute durable sur leur authenticité.

Cependant, les informations disponibles ne détaillent pas toutes les modalités de l’opération. Il n’est pas précisé ici comment seront traités les appareils ni quelles compensations seront proposées. Les clients concernés doivent donc se référer aux communications officielles de Keystone.

Un incident lié au site web

L’origine de l’attaque est aussi notable. Le pirate est passé par le site web de l’entreprise, et non par l’appareil lui-même. Ainsi, une faille dans l’infrastructure en ligne a suffi pour compromettre un secret essentiel au matériel.

Cet épisode rappelle une leçon classique. Les clés de signature et d’attestation méritent une protection maximale. En effet, elles ne devraient pas être accessibles depuis un serveur web exposé.

Recommandations après le vol de la clé de vérification

Les utilisateurs de Keystone doivent rester vigilants. Voici donc quelques réflexes utiles :

• Suivre uniquement les instructions publiées par Keystone sur ses canaux officiels.
• Se méfier également des messages non sollicités qui prétendent offrir une aide ou un remplacement.
• Acheter tout nouveau portefeuille directement auprès du fabricant ou d’un revendeur agréé.
• Ne pas se fier au seul test en ligne pour juger de l’authenticité d’un appareil d’occasion.
• Enfin, ne jamais saisir une phrase de récupération sur un site ou dans une application non vérifiée.

Ce qu’il faut retenir

• Un pirate a obtenu l’accès au site de Keystone, d’après un communiqué du 26 octobre.
• Il a également dérobé la clé qui prouve l’authenticité des portefeuilles de la marque.
• Cette clé permettrait de créer des contrefaçons qui réussissent la vérification en ligne.
• Par conséquent, Keystone prévoit de détruire 18 835 portefeuilles matériels.
• Enfin, les acheteurs doivent privilégier les circuits officiels et rester prudents.

En somme, cet incident montre qu’un portefeuille matériel n’est fiable que si la chaîne de confiance l’est aussi. La protection des secrets du fabricant compte donc autant que celle de l’appareil.

Source : Keystone to Destroy 18,835 Hardware Wallets After Hackers Steal Device Verification Key