Keystone侵害が深刻化：ウォレットの正規品検証に使われる鍵をハッカーが窃取
重要ポイント
- •攻撃者はKeystoneのウェブサイトが使用していたサードパーティ製監視ツールの脆弱性を悪用し、顧客情報とデバイスの正規性を検証する認証鍵を入手した。
- •Keystoneは侵害された鍵を含む在庫デバイス18,835台を廃棄する計画で、生産が新しい認証鍵に切り替わるまで出荷を停止しており、時期は公表されていない。
- •10月20日の事件より前に製造・納品されたデバイスは安全とみなされる一方、それ以降に納品されたデバイスの正規性は保証されていない。
- •Keystoneによると、自動化された一括消去ツールが180日間の保持ポリシーに基づく削除に失敗したため、2024年から2026年の25,964件の購入者記録が盗まれた可能性がある。
- •今回の侵害は、Ledger、CoinkiteのColdcard、Trezor、SafePal、BitBoxなど、多くがサードパーティサービスに関わる今年のハードウェアウォレットメーカーへの攻撃というより広いパターンに合致する。
ハードウェアウォレットメーカーのKeystoneは、先週同社ウェブサイトで発生した侵害の攻撃者が、デバイスの正規性を検証するための鍵も盗んでいたことを明らかにし、当初顧客データ漏洩として公表されていた事件の範囲が拡大した。
Keystoneは月曜、Xでの声明の中で、盗まれた認証鍵により攻撃者が同社の正規品検証を通過する偽物のウォレットを製造できる可能性があると警告した。
「こうしたデバイスがそのまま販売され、あるいは顧客に発送される可能性があります。顧客は本物と知らずに使用してしまい、資産窃取につながるおそれがあります」とKeystoneは述べた。
ハードウェアウォレットは、暗号資産を管理する秘密鍵をオフラインで保管するために設計されており、正規品検証はデバイスの初期設定前に本物であることを確認するための仕組みだ。検証鍵そのものが盗まれたことで、今や侵害されたのは、偽物を検出するために設けられたその検証仕組みそのものである。
今回の公表により、Keystoneは今年ハードウェアウォレットメーカーを狙った一連の攻撃の1つに加わった。今月初めには、Ledgerが東南アジアと香港の販売代理店に対し、当該地域で販売されたデバイスにリカバリーフレーズを捕捉できる不正な implanted チップが組み込まれていたとの報告を受けて、販売停止を要請した。7月末には、Coldcardの製造元Coinkiteが、攻撃者がバグを悪用したことでデバイスが意図より低いエントロピーのウォレットシードを生成し、数百万ドル相当の暗号資産が盗まれたとして、ユーザーに警告を発した。
Keystone、旧鍵を含む18,000台超のデバイスを廃棄へ
Keystoneの最新のアップデートによると、攻撃者は同社ウェブサイトが使用していたサードパーティ製監視ツールの脆弱性を悪用して権限を昇格させた。
「これにより攻撃者は、一部の顧客情報と、当社デバイスの正規性を検証するための鍵を入手しました」と同社は述べた。
Keystoneは、侵害された鍵を含む在庫デバイス18,835台を廃棄する計画で、当該鍵を使用するすべてのデバイスの出荷を停止している。出荷は、新しい認証鍵を使用するデバイスの生産が始まり次第再開される。Keystoneは切り替えの時期を公表していない。同社は月曜のアップデートをXアカウントで公開した。
同社によると、10月20日の事件より前に製造・納品されたデバイスは安全とみなされ、その正規品検証も引き続き信頼できるという。ただし、それ以降に納品されたデバイスの正規性は保証できず、該当する顧客には追加の検証のためサポートチームへの連絡を呼び掛けている。
Keystone、25,964件の購入者記録の漏洩を確認
Keystoneは顧客データ侵害の規模も明らかにし、同社ウェブサイトのShopifyストアで51,083件の購入者記録が生成されていたことを述べた。うち25,119件は、180日間のデータ保持ポリシーに基づき削除済みだった。
残る25,964件の記録(2024年から2026年のもの)は、攻撃者に盗まれた可能性がある。Keystoneは、古い記録が保持されたままになった原因を、データ一括消去を行う自動化ツールの不具合に挙げている。
「このツールは安定して動作しませんでした。一部の消去タスクが失敗し、私たちはこれらの失敗を適時に検知・対処できず、一部の個人情報が許容期間を超えて保持される結果となりました」とKeystoneは述べた。
また、攻撃者はShopifyが保持していた12,873件の顧客チェックアウト記録(完了しなかった購入に関する情報)にもアクセスしていた可能性がある。Keystoneは、30日超保持されているチェックアウト記録内の個人情報の削除をShopifyに要請したと述べた。
ハードウェアウォレット侵害の1年
月曜の公表は、2020年6月にLedgerで発生し、100万件を超えるメールアドレスに加え、顧客名、電話番号、住所が流出したデータ侵害を想起させる。漏洩した情報は、被害を受けたユーザーを狙うフィッシング攻撃を何年にもわたって助長した。
その他のハードウェアウォレットメーカーも今年、顧客情報やサードパーティサービスに関わる侵害を受けている。8月にはTrezorが配送パートナーでの侵害を公表し、影響を受けたユーザー数は9月に8万人超に拡大した。SafePalも8月に注文追跡の脆弱性を報告し、約4万人分の顧客データが流出。BitBoxは9月、第三者メールプロバイダーの侵害に関わるフィッシングキャンペーンの標的となった。
Keystoneの事件は、今年の侵害に共通するベンダー経由の露出という構図に合致する。同社への攻撃者がサードパーティ製監視ツールから侵入したのと同様に、Trezorの侵害は配送パートナーに、BitBoxのフィッシングキャンペーンは侵害されたメールプロバイダーに遡る。
