ビットコインハードウェアウォレット大手Keystone、工場鍵窃取を受け1万8,835台を廃棄し出荷を停止
重要ポイント
- •Keystoneは、攻撃者が消去も書き換えもできない恒久的なWebAuth工場鍵を入手したため、未販売のハードウェアウォレット1万8,835台を廃棄する。今後のデバイスは新しい鍵を基盤として製造される。
- •今回のデータ侵害では、2024年から2026年のShopify購入者記録2万5,964件（氏名、連絡先、配送先住所を含む）が流出したが、リカバリーフレーズと秘密鍵は漏洩しておらず、10月20日より前に配送されたデバイスは影響を受けていない。
- •一部の流出記録はKeystoneの180日削除ポリシーに基づき削除されているはずだったが、自動一括削除ツールが機能せず、同社はデータ削除の約束を果たせなかったことを認めた。
- •Keystoneは、リコール、資産移行、ウォレット認証、調査支援などを申し出る詐欺師への警戒を顧客に呼びかけ、デバイスの返送を求めることは決してないと表明した。
- •ウェブサイトでの販売は新しい鍵を搭載したデバイスの生産完了まで予約方式に移行する。KeystoneはEU、英国およびその他の管轄区域の当局に報告書を提出し、Shopifyが保有する期限超過データの削除は11月3日に完了する見込み。
ユーザーの暗号資産を管理する秘密コードをオフラインで保管するビットコインハードウェアウォレットのメーカーであるKeystoneは月曜、攻撃者が同社製品の真正性を検証するための恒久的な工場鍵を入手したことを受け、未販売の1万8,835台を廃棄すると発表した。同社はまた、ウェブサイト経由で注文された未出荷の全注文の出荷も停止している。
10月20日に検知されたこのデータ侵害では、KeystoneのShopifyストアに保存されていた購入者記録2万5,964件も影響を受けた。対象は2024年から2026年の記録で、氏名、連絡先、配送先住所が含まれている。同社によれば、リカバリーフレーズや秘密鍵は関与しておらず、10月20日より前に配送されたデバイスは影響を受けていないという。
購入者にとっての現実的なリスクは、新品同様に見え、Keystone自身の検証チェックを通過する偽造ウォレットである。攻撃者はその検証が依拠する鍵そのものを入手したためだ。犯罪者はこうしたデバイスを、実際の資産を保管しようとする人に販売する可能性がある。
「流出した場合、攻撃者は認証チェックを通過する偽造デバイスを製造する可能性があります」とKeystoneは声明で述べた。「こうしたデバイスが顧客に販売または出荷され、正規品と知らずに使用し、資産の窃取につながる恐れがあります。」
Keystoneは漏洩した認証情報をWebAuth鍵と呼んでおり、これは工場出荷時に各デバイスへ書き込まれる秘密コードで、同社ウェブサイト上のページがハードウェアの真正性を確認できるようにするものだ。この鍵は消去も書き換えもできないため、これを搭載した在庫1万8,835台は販売ではなく廃棄される。今後のデバイスは新しい鍵を基盤として製造される。
Keystoneはまず土曜、第三者が顧客の配送情報を入手したと発表した。月曜の声明では窃取された鍵と、影響を受けた購入者記録2万5,964件という件数が追加されたが、犯人の特定や攻撃者がいつ最初にアクセスしたかについては言及していない。
このインシデントは、同社のオンライン販売を担当していたECプラットフォームであるKeystoneのShopifyストアの記録に影響を与えた。同社によると、関与した購入者記録は合計5万1,083件だが、このうち2万5,119件はすでに個人情報が削除されており、氏名、連絡先、配送先住所、注文情報を残したままの2万5,964件が2024年から2026年の記録として残っていたという。Amazonやその他のチャネルでの購入は影響を受けていない。
この一部のデータは本来すでに削除されているはずだった。つまり、漏洩した情報の一部は、Keystoneが削除を約束していた記録で構成されていた。同社の方針では購入者記録を180日後に削除することになっていたが、そのために構築した自動一括削除ツールが安定して動作しなかった。
「一部の削除タスクが失敗し、これらの失敗を適時に検知・対処できなかったため、一部の個人情報が許容期間を超えて保持されました」とKeystoneは述べた。「期限どおりに顧客データを削除するという約束を果たせず、この失敗の責任を負います。」
顧客リストはハードウェアウォレットメーカーにとって繰り返される弱点だ。Ledgerの2020年の漏洩は最終的に約29万2,000人の顧客に及び、その後にフィッシングメールを受け取った人々は家庭への侵入事件の標的になることを懸念した。TrezorとSafePalも8月にそれぞれ顧客データ侵害を公表しており、1万3,689人と約3万9,798人の顧客に影響を与えた。
— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026
氏名や住所が問題となるのは、いわゆるレンチ攻撃（wrench attack）のためだ。これは犯罪者が脅迫や暴力的手段によって暗号資産の引き渡しを強要する手口である。Chainalysisによると、2026年上半期に46件の暴力的攻撃が確認され、3,000万ドル以上が奪われた。
同メーカーはまた、「資産移行」「ウォレット認証」「調査支援」などを申し出る詐欺師にも警戒を呼びかけた。
「当社がデバイスの返送をお願いすることはありません」と同社は述べた。「『リコール』を口実に連絡し、デバイスの発送を求める者は詐欺師として扱うべきです。」
Keystoneのウェブサイトでの販売は、新しい鍵を搭載したデバイスの生産が完了するまで予約方式に切り替わる。同社はEU、英国およびその他の管轄区域の当局に報告書を提出したとしている。
Keystoneは顧客データの保持期間を180日から90日に短縮し、10月24日にShopifyへ期限超過の購入者データの全件削除を依頼した。この手続きには10日の待機期間がある。同社は削除が11月3日までに完了する見込みとしており、影響を受けた顧客に具体的な日程を示している。
