暗号資産ハードウェアウォレットメーカーのKeystoneは、先のセキュリティ侵害が当初報告されていたよりもはるかに深刻であることを明らかにし、攻撃者が偽造デバイスを同社の公式認証チェックに通過させる可能性のある重要な認証鍵を盗んだことを発表した。

同社は当初、顧客情報の漏洩のみを報告していたが、2026年10月26日にこの追加の情報を開示した。これを受けてKeystoneは、18,835台のハードウェアウォレットを廃棄し、保留中の出荷を停止するとともに、より強固な認証保護策を導入する計画である。

攻撃者がWebAuth鍵を取得

Keystoneは10月20日、公式ウェブサイトへの不正アクセスを初めて検知した。調査の結果、攻撃者はサードパーティ製データ監視ツールの脆弱性を悪用し、昇格されたアクセス権限を取得していたことが判明した。

盗まれたデータの中にはハードウェアウォレットが正規品かどうかを検証するための認証情報であるKeystoneのWebAuth鍵が含まれていた。この種のチェックは、購入者がデバイスが偽造品や改ざんされたものではなく正当なものであることを確認するためのものであり、この認証情報が製品そのものへの信頼の中心に位置づけられている。

この鍵は製造段階でデバイスに組み込まれるため、すでに流通している端末では消去や交換ができない。漏洩したパスワードとは異なり、単純にローテーションすることはできないのだ。その結果、犯罪者がKeystoneの公式認証プロセスを通過できる偽造ウォレットを製造し、注意を怠る暗号資産保有者を資産窃取の危険に晒す可能性が理論上生じる。ただしKeystoneは、盗まれた鍵はリカバリーフレーズの生成、プライベートキーの導出、暗号資産取引の承認には使用できないと強調している。同社は、この認証情報を悪用した偽造デバイスの事例は確認されていないと述べている。

18,835台のデバイスを廃棄へ

この発見を受けて、Keystoneは侵害された認証鍵を含む18,835台のデバイスを廃棄すると発表した。同社はまた、代替デバイスが用意できるまで、未処理のウェブサイト注文の出荷を停止している。

新たに製造されるウォレットには異なる認証鍵が搭載される。それまでの間、Keystoneは代替在庫の準備を進めるため、ウェブサイトでの販売を予約購入方式に移行している。

調査ではさらに、ハッカーが25,964件の顧客購入記録に紐づく個人情報にアクセスしたことが判明した。また、Keystoneは機密性の高い顧客情報を含む可能性のある12,873件の未完了チェックアウト記録も特定した。漏洩したデータには、氏名、連絡先情報、配送先住所、購入履歴が含まれていた。同社は、自動削除システムの不備により、一部の顧客情報が意図した期間より長く保存されていたことを認めた。

ユーザーに詐欺への注意を呼びかけ

Keystoneは、10月20日より前に配送されたウォレットは、認証チェックに合格していれば信頼できると述べた。それ以降に古い鍵を含むデバイスを受け取った顧客は、追加の検証のため公式サポートに連絡するよう推奨されている。

同社はまた、偽のリコール通知、交換ファー、暗号資産の移送を求める要求についてユーザーに注意を促した。Keystoneは、勝手なリコール要求でリカバリーフレーズの提出やデバイスの返送を求めることは決してないと強調している。氏名、住所、注文履歴といった実在する情報により、詐欺的なメッセージが受信者に信頼できるものに見える可能性があるため、これらの警告は一層の重みを持つ。

プライベートキーとリカバリーフレーズは漏洩していなかったものの、この一件は、ハードウェアウォレットメーカーのセキュリティリスクがデバイスそのものにとどまらず、顧客データや投資家の信頼を支える認証システムにも及ぶことを浮き彫りにしている。今後注目すべき展開としては、偽造デバイスの確認の有無、予約購入方式での代替出荷の再開時期、そしてKeystoneが約束するより強固な認証保護策の具体的内容が挙げられる。