ハードウェアウォレットメーカーのKeystoneは、同社のKeystoneウォレットが正規品かどうかを検証するための暗号鍵を攻撃者に入手されたことを受け、販売可能在庫から約19,000台のデバイスを引き揚げ、ウェブサイト経由の未発送の注文をすべて停止しました。この盗難により、偽造ハードウェアがKeystone独自の真贋チェックを通過する可能性が浮上しています。

on Xに投稿された声明で同社は、攻撃者がデバイス認証ページを支えるWebAuth鍵を入手したと説明しています。このページは、購入者がウォレットがメーカーから直接発送されたものかを確認するために使用する仕組みです。この鍵が第三者の手に渡ったことで、高度な攻撃者は理論上、標準的な検証プロセスを実行する人に対して偽物のデバイスを正規品に見せることができ得ます。

Keystone、在庫を廃棄し出荷を停止

もはや確実に認証できない在庫を出荷する代わりに、Keystoneは旧WebAuth鍵が組み込まれた在庫デバイス18,835台を廃棄し、未発送のウェブ注文を顧客に販売・転送しないと述べました。

約19,000台を廃棄する決定はハードウェアウォレット企業としては異例の措置であり、Keystoneがこの認証の欠陥をどれほど深刻に受け止めているかを示しています。同社は、WebAuth鍵はリカバリーフレーズの生成、秘密鍵の導出、トランザクション署名には使用されていないと強調しており、ユーザーの手元にある既存のウォレットは暗号資産の管理において機能的に安全であるとしています。

また、Decryptによると、Keystoneは10月20日より前に納品されたデバイスは影響を受けていないことを確認しています。同社はEU、英国およびその他の管轄区域でインシデント報告を行ったと述べていますが、これらは企業による自主的な開示であり、いずれの規制当局による調査結果や執行措置を意味するものではありません。現時点で記録されている開示はKeystone自身によるものであり、当該当局による独自の評価が示されれば新たな動向として注視する必要があります。

インシデントで顧客データも流出

デバイス認証の問題に加え、この一件ではKeystoneの注文履歴に紐づく個人情報も露出しました。Decryptの報道によると、25,964件の購入者記録に、2024年から2026年までの購入に関する個人情報が残されたままとなっています。

Unchainedはより幅広い数字を報じており、合計51,083件のShopify購入者記録が関与していたものの、そのうち25,119件については個人情報がすでに消去されていたとしています。両メディアの数字は算術的に整合します。51,083から消去済みの25,119件を差し引くと25,964となり、Decryptが個人情報が残っていると挙げた件数と正確に一致します。さらに12,873件の未払いチェックアウト記録にも、氏名、連絡先情報、配送データが残っています。

このデータ露出は、デバイス真贋の問題に加えて、別個のプライバシー上の懸念をもたらします。特にハードウェアウォレットの顧客は、暗号資産の保有者として識別可能な場合が多い点が指摘されます。

なぜ認証鍵の盗難が偽造リスクにとって重要なのか

ハードウェアウォレットは、暗号エコシステムにおいて特有の信頼の役割を担っています。すなわち、インターネットに接続されたコンピューターに秘密鍵を決して晒さない、改ざんが検知可能なエアギャップデバイスであるべきだとされているのです。この約束は部分的に、購入者が受け取ったのが正規のハードウェアであり、輸送中に傍受・すり替えられたデバイスではないことを確認できるかに依存しています。

Keystoneの真贋ページで使用されていたWebAuth鍵は、まさにそのサプライチェーンリスクに対処するために意図された仕組みでした。攻撃者がこの鍵を保持している場合、その攻撃者が製造する偽造デバイスは、妥当に見える検証結果を生成し得ます。その結果、購入者は標準的なチェックを通じて正規品と偽物を確実に区別する手段を失います。鍵を交換し旧在庫を廃棄するというKeystoneの対応は、この検証経路を修理可能なものではなく侵害されたものとして扱うことと整合しています。

なお、このインシデントに関する公開報道では、確認された偽造Keystoneデバイスは報告されていない点に留意が必要です。同社の開示は盗まれた鍵がもたらすリスクを説明するものであり、偽物のデバイスがすでに購入者に届いている証拠ではありません。

Keystoneウォレットユーザーが今すべきこと

すでにKeystoneデバイスを所有しているユーザーにとって最も重要な情報は、WebAuth鍵がリカバリーフレーズの生成、秘密鍵の導出、トランザクション署名には使用されていないという同社の説明です。正規ユーザーの手元にある既存のウォレットは、この認証鍵の盗難によって直接侵害されたわけではなく、適切に保管されたシードフレーズは引き続き保護されています。製品固有のガイダンスについては、第三者の要約に従うのではなく、Keystoneの公式チャネルを直接確認することが賢明です。

未発送のウェブ注文を行った購入者については、Keystoneはそれらの注文が停止中であると述べています。同社はまだ交換品や再発送のスケジュールを公表していないため、影響を受けた顧客はKeystoneの公式発表を注視すべきです。セカンダリマーケットやリセラーからKeystoneデバイスの購入を検討している人は、同社が新しい認証鍵を搭載した新デバイスを発表するまで特に注意が必要です。流通している旧鍵のデバイスは、従来の真贋ページでは検証できないためです。

このインシデントは、自己管理資産の価値が拡大する中で、サプライチェーン認証がハードウェアウォレットメーカーにとって現実の攻撃対象となっていることを改めて示しています。暗号市場全体のセンチメントはFear and Greed Indexで中立(48)に位置し、Bitcoinは約80,646ドルで取引されています。これは、意味のある資産を自己管理しているユーザー層がどれほど大きくなっているか、そしてデバイスが侵害された場合の損失がいかに直接的に経済的であり得るかを示す指標です。

Keystoneにとっての核心的な問いは、侵害されていない新しいWebAuth鍵を搭載したデバイスをどれだけ早く再発行し、購入者に信頼できる代替の認証手段を提供できるかにあります。そのプロセスが完了し、第三者が検証可能になるまで、同社が偽造ハードウェアから顧客を守るために構築した真贋チェックは利用できません。

免責事項:本記事は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号通貨およびデジタル資産市場には重大なリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。