ハードウェアウォレットメーカーのKeystoneは、第三者によるウェブサイトへの不正アクセスにより、氏名、連絡先情報、配送先住所、購入記録が流出した顧客データ侵害を確認しました。

同社は2026年10月20日に不審なアクティビティを検出し、Shopify APIのアクティビティを調査した後、10月23日にデータ流出を確認しました。流出した記録には顧客が購入した製品とその価格が含まれており、これらの情報はハードウェアウォレットの所有者とその実住所を特定するために悪用される可能性があります。ハードウェアウォレットは暗号資産を管理する秘密鍵をオフラインで保管するため、特定のデバイスと自宅住所を結び付ける記録は、デバイス自体が侵害されていない場合でも機密情報として扱われています。

Keystoneは10月24日、Xでの声明において本件を公表し、クレジットカード情報、銀行口座情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは漏洩していないことを確認しました。

同社はその後、不正アクセスを遮断し、脆弱性を修正するとともに、影響を受けた顧客へのメール通知を開始しました。何人の顧客が影響を受けたか、また攻撃者がどのように情報を入手したかについては明らかにされていません。

Shopify APIアクティビティから購入記録が流出

Keystoneの調査により、不正アクセスは同社のハードウェアウォレットデバイスの侵害ではなく、ウェブサイトを支えるECインフラに起因することが判明しました。流出したデータは、顧客の身元情報と配送先住所を具体的な購入履歴と組み合わせたものであり、攻撃者が真正の取引詳細を利用してメーカーになりすます機会を生み出しています。

攻撃者は、詐欺的な電話、メール、メッセージを通じて追加情報を引き出そうとする際に、顧客の実際の注文、購入したデバイス、配送先住所に言及する可能性があります。Keystoneは、詐欺師が返金、交換用ハードウェアウォレット、または配送問題の解決支援を申し出る可能性があると警告しており、こうした連絡はメール、テキストメッセージ、電話、郵便を通じて届く可能性があります。

同社は、攻撃者の特定、奪われた記録数の確定、侵入が漏洩したAPI認証情報、アプリケーションの脆弱性、その他のアクセス手法のいずれによるものかの開示を行っていません。ShopifyがAPI調査に関与していることは、Shopifyのより広範なインフラが侵害されたことを示すものではありません。

ウォレットメーカーの侵害事例が相次ぐ中での最新の事例

本件は、暗号資産ウォレットメーカーとそのECパートナーに関わる一連の同様の侵害事例に続くものです。

9月、Trezorは約67,000人の米国人顧客が追加で個人情報を流出していたことが判明したことを受け、ShipMonkデータ侵害の調査を拡大しました。影響を受けた記録には、2019年にさかのぼる氏名、電話番号、メールアドレス、配送詳細、注文履歴が含まれており、当初13,689人の顧客が関わっていた事例の規模を大きく拡大する結果となりました。

8月には、SafePalが39,798人の顧客の個人情報および購入情報を流出させる注文追跡の脆弱性を明らかにしました。同社はこの事例を、出荷情報にアクセスするためのプラグインにおける認可の欠陥に追跡しました。

1月には、ECパートナーのGlobal-eにおける侵害を受けて、Ledgerの顧客が標的型フィッシング攻撃に直面し、第三者プロバイダーから流出した顧客データを利用した詐欺メッセージが出回りました。これは、Keystoneが現在自社顧客に警告しているアフターフォロー型の詐欺的アプローチと類似した経緯です。

技術的原因や影響を受けたインフラは異なりますが、いずれの事例も商取引またはフルフィルメントシステムが保持する顧客情報が関わるものでした。

偽の交換デバイスに関する警告

Keystoneは、不審なコミュニケーションに含まれるリンクをクリックせず、サポートを求める際には公式ウェブサイトに直接アクセスするよう顧客に呼びかけています。同社は特に、送り付けられてきた交換用デバイスにリカバリーフレーズを入力することや、カスタマーサービスチームを名乗る者と秘密鍵を共有することを強く警告しています。

既にリカバリーフレーズを不審な詐欺師に開示してしまった顧客は、そのウォレットを侵害されたものとして扱い、残りの資産を新しいリカバリーフレーズで生成した新しいウォレットに移行する必要があります。

Keystoneは調査を継続しており、近日中に詳細な技術レポートを公表する予定です。同社は本侵害による暗号資産窃盗の証拠を明らかにしておらず、顧客通知の完了時期についても確定していません。近日発表される調査レポートは、侵入および影響を受けた顧客記録に関するさらなる詳細を提供する見込みです。