🗓️ Contexte

Article publié le 26 octobre 2026 sur Gizmodo, relatant deux nouveaux incidents de sécurité affectant des fabricants de portefeuilles matériels (hardware wallets) pour cryptomonnaies : Foundation et Keystone. Ces incidents s’inscrivent dans une série d’attaques particulièrement sévère en 2026 pour ce secteur.

🎣 Incident Foundation : phishing via infrastructure compromise

  • Des emails de phishing ont été envoyés depuis les domaines officiels de Foundation, alertant faussement d’un rappel urgent de dispositifs.
  • La cause identifiée : une ou plusieurs clés API Cloudflare compromises, permettant l’envoi d’emails légitimes en apparence.
  • Un accès non autorisé à l’infrastructure backend via une vulnérabilité dans une application auto-hébergée a également permis l’accès à la boîte de réception du support client.
  • Les attaquants ont été expulsés des systèmes en moins de 10 minutes après les premiers signalements.
  • Les emails personnalisés incluaient noms, adresses et numéros de téléphone, issus de la boîte support, de croisements avec des fuites crypto récentes, ou de la boutique Shopify.
  • Une mauvaise configuration de la base de données WooCommerce (migrations laissant des copies dans des tables legacy) a exposé des données supposément supprimées.

🔑 Incident Keystone : fuite de clé d’authentification et données clients

  • Le 20 octobre 2026, Keystone a détecté un accès non autorisé à son site officiel.
  • L’attaquant a exploité une vulnérabilité dans un outil tiers de monitoring de données, permettant une élévation de privilèges.
  • Données exposées : noms, coordonnées, adresses de livraison, détails de commandes — 25 964 enregistrements acheteurs et 12 873 enregistrements de paiements incomplets.
  • L’attaquant a obtenu la clé WebAuth utilisée pour vérifier l’authenticité des appareils, inscrite en fabrication et non effaçable ni réinscriptible.
  • En réponse, Keystone a décidé de détruire 18 835 appareils en stock contenant l’ancienne clé.
  • La politique de suppression des données (180 jours) n’était pas pleinement appliquée en raison de défaillances non détectées d’un outil automatisé.

📊 Contexte sectoriel 2026

D’autres incidents majeurs ont touché le secteur cette année :

  • Ledger : attaque supply chain avec composants cachés → vol direct de fonds
  • Coldcard : faille firmware réduisant l’entropie des seed phrases
  • Trezor : expositions via ShipMonk (~80 000 clients) et Brevo
  • BitBox : également affecté par l’incident Brevo
  • Pertes estimées combinées liées à Ledger et Coldcard : plus de 200 millions de dollars

📌 Nature de l’article

Article de presse spécialisée à visée informative, documentant deux incidents de sécurité distincts et les replaçant dans le contexte d’une tendance sectorielle préoccupante pour les fabricants de hardware wallets en 2026.

🧠 TTPs et IOCs détectés

TTP

  • T1566 — Phishing (Initial Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1552.004 — Unsecured Credentials: Private Keys (Credential Access)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1114 — Email Collection (Collection)
  • T1586.002 — Compromise Accounts: Email Accounts (Resource Development)

IOC

  • Emails : [email protected]

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 46/100 (moyenne)

  • ⬜ gizmodo.com — source non référencée (0pts)
  • ✅ 9315 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://gizmodo.com/two-more-crypto-hardware-wallet-manufacturers-have-been-hacked-2000830786