OneKey limite la conservation des données clients à 30 jours, l’engagement de suppression de Keystone n’étant pas respecté
- OneKey a annoncé qu’il conserverait les données des clients pendant au maximum 30 jours après que Keystone ait admis l’échec de son système de suppression à 180 jours, laissant 25 964 enregistrements d’acheteurs exposés lors d’une violation de données.
- Cette mesure est importante pour les acheteurs de portefeuilles matériels car les données de commande volées alimentent le phishing et menacent la sécurité physique, et parce que les engagements de suppression dépendent des boutiques Shopify et des partenaires logistiques qui détiennent réellement ces enregistrements.
- Keystone détruit également 18 835 appareils après que des attaquants aient volé la clé servant à vérifier ses dispositifs matériels.
Yishi Wang, fondateur de OneKey, s’est engagé à supprimer les données clients dans un délai de 30 jours, suite à l’aveu d’un échec par son concurrent Keystone concernant son système de suppression à 180 jours, après une violation ayant exposé près de 26 000 enregistrements d’acheteurs.
Le centre d’aide de Keystone a indiqué que la suppression finale des enregistrements utilisateurs est gérée par Shopify. Cette divulgation met en lumière une faille de sécurité au niveau des boutiques Shopify et des entreprises logistiques, hors du contrôle des fabricants de portefeuilles comme OneKey et Keystone, malgré l’engagement de ce dernier à une suppression sous 30 jours.
Pourquoi OneKey réduit sa période de conservation des données
Yishi Wang, fondateur de OneKey a confirmé mardi que le fabricant de portefeuilles matériels audite son propre système de sécurité après des brèches récentes et des attaques sur la chaîne d'approvisionnement qui ont exposé des failles de sécurité dans le secteur où il opère.
Wang a souligné que cette mesure est préventive, écrivant qu'« OneKey n'a PAS connu d'incident de sécurité ». Plutôt, la décision de limiter la rétention des données à 30 jours est une réponse directe aux problèmes survenus ailleurs.
La raison derrière cette fenêtre de rétention des données plus courte est que plus un fournisseur conserve les données clients longtemps, plus le volume de données clients susceptibles d'être exposées lors de brèches est important.
Qu'est-ce qui a causé la brèche chez Keystone ?
Keystone a révélé que le système qui supprime automatiquement les données clients à la fin de leur période de rétention de 180 jours avait cessé de fonctionner sans déclencher aucun signal d'alarme. « Nous n'avons pas respecté notre engagement d'effacer les données clients en temps voulu, et nous assumons la responsabilité de cet échec », a déclaré l'entreprise.
Keystone a trouvé que 25 964 enregistrements portaient encore des données personnelles, noms, adresses de livraison, coordonnées et historiques d'achat lors d'une examen de 51,083 enregistrements d’acheteurs Shopify. Apparemment, des données remontant à 2024 étaient toujours conservées, bien au-delà de la limite de 180 jours l'entreprise a mis en avant Après que les clients de Ledger ont appris une fuite de données chez leur partenaire e-commerce Global-e en janvier 2026.
Les enquêteurs ont trouvé des détails sensibles dans 12 873 autres enregistrements de paiement non finalisés.
En réponse, Keystone a désormais réduit sa période de conservation à 90 jours.
Keystone a également révélé le 26 octobre que les attaquants avaient également volé la clé WebAuth utilisée par ses appareils pour prouver leur authenticité, reliant l’intrusion à une faille dans un outil de surveillance tiers qui permettait aux intrus d’élever leurs privilèges. Keystone a détecté cette activité pour la première fois le 20 octobre.
Étant donné que la clé est gravée dans chaque appareil lors de la fabrication et ne peut pas être réécrite, Keystone prévoit de détruire les 18 835 unités en stock qui la portent. Les nouveaux portefeuilles reçoivent une clé de remplacement.
L’entreprise a suspendu les expéditions des commandes en attente du site web et est passée aux précommandes.
Les promesses de suppression ne valent que ce que valent les partenaires détenant les données
Il est notable que les fabricants de portefeuilles matériels ne sont pas les seuls à conserver les données clients. Les plateformes e-commerce et les partenaires logistiques gèrent également les noms, adresses et historiques de commande des clients, et c’est à ce niveau que la plupart des récentes violations de données se sont produites.
La fuite de données de Trezor a atteint 81 000 clients après que son partenaire d'expédition ShipMonk ait refusé de supprimer les enregistrements malgré des assurances écrites répétées. SafePal a exposé 39,798 clients via une faille dans le suivi des commandes et a depuis réduit sa période de rétention à 90 jours. Ledger a confirmé que les appareils revendus par CryptoBilis cachaient des puces capturant les phrases de récupération. Cryptopolitan, citant des chercheurs sur la chaîne, a estimé les pertes à plus de 86 millions de dollars.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Pourquoi OneKey réduit-il sa rétention de données à 30 jours ?
Yishi de OneKey a déclaré sur X que l'entreprise renforçait sa sécurité suite à une vague de violations de données et d'attaques sur la chaîne d'approvisionnement dans l'industrie des portefeuilles matériels, et a affirmé qu'OneKey n'avait pas été piraté.
Que Keystone a-t-il admis concernant sa politique de suppression en 180 jours ?
Keystone a indiqué que son système de suppression automatisé a dysfonctionné, laissant 25 964 des 51 083 enregistrements Shopify contenant des données personnelles au-delà de la limite de 180 jours, et a reconnu avoir échoué à respecter son engagement de supprimer ces données à temps.
Pourquoi Keystone détruit-il 18,835 portefeuilles matériels ?
Les attaquants ont volé la clé d'authentification que Keystone utilise pour vérifier l'authenticité des appareils. Étant donné que cette clé est intégrée lors de la fabrication et ne peut pas être réécrite, l'entreprise met au rebut les 18 835 unités concernées et suspend les expéditions.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
