Avis sur KeepKey

KeepKey a un problème précis, et ce n'est pas celui dont on l'accuse d'ordinaire. En 2019, Kraken Security Labs a montré que la phrase de récupération peut être extraite d'un KeepKey par quiconque garde l'appareil environ 15 minutes avec à peu près 75 dollars de matériel de glitching, ce qui livre la phrase de récupération chiffrée, et le code PIN de 1 à 9 chiffres qui la protège est ensuite trivial à forcer. La conclusion de Kraken était que le défaut tient au microcontrôleur plutôt qu'au code, de sorte qu'aucune mise à jour du micrologiciel ne peut le corriger. N'en achetez un que si ce dont vous vous protégez est un logiciel malveillant ou une tentative d'hameçonnage plutôt qu'un cambriolage, et activez la phrase secrète BIP39 dans tous les cas.

KeepKey ne cache rien de tout cela, ce qui mérite d'être dit clairement. Sa page produit nomme la puce, une STM32F405 ARM Cortex-M4, publie les schémas matériels, le tracé du circuit imprimé et la nomenclature sur GitHub, et présente "no proprietary secure element" comme un choix de conception plutôt qu'une omission : chaque composant est standard, donc n'importe qui peut auditer la carte ou en assembler une. C'est un argument réel, et c'est celui que Ledger ne peut pas avancer, puisque la conception de son matériel et le système d'exploitation de ses appareils sont fermés. Le prix à payer est l'attaque décrite plus haut, car un microcontrôleur d'usage général n'est pas conçu pour garder un secret face à quelqu'un qui tient la carte, et l'article de Kraken dit exactement cela de cette famille de puces.

Le site de KeepKey fait remonter la marque à 2014 et expédie depuis Denver, dans le Colorado. Elle se distinguait par une chose : un écran OLED de 3,12 pouces, le plus grand de son époque, qui rendait la vérification d'une adresse sur l'appareil réellement lisible. La plateforme d'échange ShapeShift a racheté la société en août 2017 et a cassé le prix pour développer sa base d'utilisateurs, et lorsque ShapeShift s'est dissoute en DAO en juillet 2021, le portefeuille est sorti de ses mains.

Le micrologiciel est maintenu, ce qui mérite d'être dit clairement car la boutique en ligne ne le montre pas. keepkey.com vend l'appareil Gen 3 à 59,95 $ et promet des mises à jour de micrologiciel gratuites à vie sans publier d'historique des versions ; le dépôt sur github.com/keepkey/keepkey-firmware contient l'historique réel. La version 7.10.0 a ajouté les sorties Taproot en février 2025, la 7.14.0 a ajouté Solana, Tron, TON et Zcash en avril 2026, et la 7.14.1 a suivi en juin 2026 avec d'autres types de signature et ce que ses notes appellent un renforcement de la sécurité dans la validation des signatures et le traitement des messages. Les étiquettes de version sont signées, et chaque version publie le hachage attendu d'une compilation Docker reproductible, de sorte que le binaire que vous installez peut être vérifié contre le code source. Le développement est plus lent que dans le reste du secteur, avec un écart de onze mois entre les versions de mars 2024 et de février 2025, mais lent ne signifie pas abandonné.

L'avertissement porte donc sur le matériel, non sur un abandon. Si vous gardez de vraies économies sur un KeepKey, activez une phrase secrète BIP39, qui n'est jamais écrite sur l'appareil et survit donc à l'attaque, ou passez à un appareil conçu autour d'un élément sécurisé : un modèle Trezor Safe, un Ledger actuel, ou un BitBox02. Si vous changez d'appareil, générez une nouvelle phrase de récupération sur le nouvel appareil plutôt que d'importer l'ancienne, puisque l'ancienne a passé sa vie sur un matériel présentant une faiblesse physique connue.