Des clients de Keystone affirment qu'une faille a exposé des données personnelles que l'entreprise disait avoir effacées. L'affaire pose une question de fond : les fabricants de portefeuilles matériels tiennent-ils réellement leurs promesses en matière de confidentialité, un enjeu de confiance pour quiconque communique des informations personnelles pour acheter un wallet.
Ce qui s'est passé
Selon The Block, des clients de Keystone affirment qu'une faille a exposé des informations personnelles que l'entreprise disait avoir supprimées. Keystone indique supprimer les données de ses clients 180 jours après une commande, dans la plupart des cas. Sur X, des utilisateurs ont publiquement contesté cette affirmation, citant la fuite présumée comme preuve que des informations ont survécu au-delà de ce délai annoncé. Les éléments disponibles ne précisent ni le nombre de clients concernés, ni la date de la fuite, ni les catégories de données exposées. Keystone n'a publié aucune déclaration officielle répondant directement à ces accusations, du moins dans les éléments consultés.
Comment on en est arrivé là
Les fabricants de portefeuilles matériels collectent couramment noms, adresses de livraison et détails de commande pour traiter les achats. Des entreprises comme Keystone construisent en partie la confiance de leurs clients sur la promesse de supprimer ces informations une fois qu'elles ne sont plus nécessaires. Le délai de 180 jours évoqué par Keystone visait justement à limiter la durée d'exposition de données sensibles. Cette fuite présumée, rapportée par The Block, met cette promesse directement à l'épreuve. Si des données censées être supprimées refont surface lors d'une fuite, cela suggère soit que la politique n'a pas été appliquée, soit que les données ont subsisté dans des sauvegardes au-delà de la période annoncée.
Pourquoi cela vous concerne
Pour les clients actuels de Keystone, la question se pose de savoir si leurs données personnelles, y compris les détails de commande, restent exposées même après le délai de suppression annoncé par l'entreprise. Les personnes ayant acheté un appareil Keystone il y a plus de 180 jours voudront peut-être vérifier ce qui a réellement été supprimé. Pour les autres fabricants de portefeuilles matériels, cet épisode rappelle que les politiques de conservation des données annoncées invitent à l'examen critique. Les équipes qui conçoivent des systèmes de wallets ou de commandes doivent s'attendre à ce que clients et chercheurs vérifient les promesses de suppression à l'aune des faits, et non du seul discours marketing.
La question de fond
Lorsqu'une entreprise promet de supprimer les données de ses clients après un délai donné, qui vérifie réellement que cette suppression a eu lieu ? Les entreprises du secteur crypto-hardware devraient-elles se soumettre à des audits indépendants de leurs politiques de suppression de données, à l'image des attestations de réserves, ou les clients ne découvriront-ils la vérité qu'après qu'une fuite ait révélé la faille ?
À surveiller
Aucune réponse officielle ni calendrier d'enquête n'a été publié dans les éléments consultés à ce jour. Reste à voir si Keystone répondra directement aux accusations de ses clients, et si des chercheurs en sécurité indépendants confirmeront l'ampleur de la fuite. Bonuz continuera de suivre l'évolution des pratiques de gestion des données chez les fabricants de portefeuilles matériels.
