暗号資産ハードウェアウォレットメーカーのKeystoneは、ウェブサイトのセキュリティ侵害により顧客情報が攻撃者に露出したことを明らかにし、標的型詐欺や物理的攻撃への懸念を高めている。

同社は土曜日、週のはじめに不審なアクティビティを検知し、ShopifyとのAPIアクティビティを確認したうえで金曜日に、不正な第三者が顧客の配送情報にアクセスしたことを確認したと発表した。流出したデータには、氏名、連絡先、配送先住所、購入品目などの注文情報が含まれる。

「アクセスを遮断し、脆弱性を修正し、調査を開始し、影響を受けた顧客にメールを送信しています」と、同社はXでの声明で述べた。

Keystoneは、流出した情報が標的型フィッシング攻撃に悪用される可能性があると警告した。セキュリティ研究者のTaylor Monahanはさらに懸念を指摘しており、配送先住所の漏えいが顧客を物理的攻撃や誘拐のリスクにさらす可能性があるとしている。この一件は、ハードウェアウォレット所有者に特有の課題を浮き彫りにした。デバイスは秘密鍵をオフラインに保つよう設計されているが、メーカーが保有する顧客データはウォレット保有者自身に対して武器になり得るのだ。

この開示は、いわゆる「レンチ攻撃」の増加を背景に発表された。レンチ攻撃とは、物理的な脅迫や暴力によって暗号資産保有者から資産を差し出させる犯罪である。ブロックチェーンセキュリティ企業のCertiKは、2026年上半期に世界で確認された52件のレンチ攻撃を記録しており、前年同期の39件から33%増加した。

「改めて、影響を受けたすべての方に心よりお詫び申し上げます」とKeystoneは述べた。同社は影響を受けた顧客の数を明らかにしていない。

顧客データ削除の約束をめぐりKeystoneに疑問

今回の侵害は、古い顧客情報に対するKeystoneの取り扱いについても疑問を投げかけている。2023年のブログ記事で同社は、他のハウェアウォレットメーカーに影響を与えたセキュリティ事故を受けて、顧客データの保持期間を180日に短縮したと述べていた。

しかし、一部の顧客は、デバイスを2年以上前に購入したにもかかわらず侵害の通知を受け取ったと述べており、Keystoneがどの情報を保持していたのか、また通知は約束どおり古い注文記録が削除されなかったことを示すものなのか、という疑問が生じている。

「OG DEGEN」という名前のXユーザーは、詐欺事件を捜査する执法機関を名乗る詐欺師から電話を受けたと述べた。相手が言及した個人情報に基づき、このユーザーは、2024年に行ったKeystoneの注文から情報が入手されたのではないかと疑っている。

「相手の狙いは、私の秘密鍵が漏えいしたと思い込ませ、『再設定』のためのフィッシングリンクを送ることだったと思います」と、このユーザーはXに書いている。このなりすまし、切迫感、「修正」へのリンクの組み合わせは、ユーザーを攻撃者が管理するサイトに誘導し、ハードウェアウォレットの内容をどこでも復元できる一連の単語であるリカバリーフレーズを入力させる、よく知られたフィッシングの手口に沿ったものである。

別のXユーザーのtrintaetresも、デバイスを2年以上前に購入したにもかかわらずメール通知を受け取ったと述べている。

CointelegraphはKeystoneに対し、公表済みの保持ポリシーにかかわらず、180日以上前の購入に係る顧客情報がどのように露出し得たのか、また影響を受けた顧客の数について問い合わせた。掲載時点で同社から回答は得られていない。調査が進行中となるなか、影響を受けた顧客や観察者らが次に注目するのは、180日の期間を超えた記録が保持されていた理由と、何人が露出したのかをKeystoneが説明するかどうかである。