Keystone Hardware Walletは、公式ウェブサイトへの不正アクセスにより、顧客名、メールアドレス、電話番号、配送先住所および購入記録が漏洩したことを確認した。2026年10月20日に侵入が検知され、Shopifyのアプリケーションプログラミングインターフェース（API）アクティビティの調査を経て、3日後の10月23日に確認された。これは、同社が10月24日に行った開示によるものだ。

開示の中で同社は、不正な第三者が注文情報を入手したと説明した。Keystoneはアクセスを遮断し、特定された脆弱性を修正し、調査を開始した。同社は攻撃者を特定しておらず、影響を受けた顧客数も依然として公表されていない。漏洩した取引の件数も発表には含まれていなかった。

暗号業界のニュースアカウントであるWu Blockchainが、この開示をXで共有した：

Keystone Confirms Customer Data Exposure Following Unauthorized Website Access Keystone Hardware Wallet confirmed that a third party obtained customer shipping and order information following unauthorized access to its official website. The incident was detected on October 20,… pic.twitter.com/tZMXH6xIHZ

— Wu Blockchain (@WuBlockchain) October 24, 2026

注文記録が漏洩、ウォレットの認証情報は無事

本インシデントで漏洩したのは、暗号資産保管デバイスの購入に関連する記録であり、ウォレット内部に保管されている情報ではなかった。漏洩した記録には、顧客が購入した製品と支払った価格に加え、身元情報と配送先が記載されていた。そのため、漏洩した情報はデバイスの購入を特定可能な顧客に結び付けるものだったが、ウォレットの認証情報が漏洩したとの報告はない。

ハードウェアウォレットは配送を要する物理的な商品であるため、その製造業者は他のEC事業者と同種の小売記録を保有することになる。これは、デバイス自体がどれほど安全に動作していても、顧客の身元データがストアフロントシステムに置かれることになる市場の構造的特徴である。

Keystoneは、クレジットカード番号、銀行口座情報、ウォレットのパスワード、秘密鍵およびリカバリーフレーズは漏洩していないと述べた。同社のウォレットはオフラインでトランザクション署名を行い、QRコードによる通信により、インターネット接続デバイスとの直接接続を制限している。

Shopifyインフラをめぐる未解決の疑問

同社のプライバシーポリシーによれば、Shopifyが同メーカーのオンラインストアを運営し、注文情報を処理している。このポリシーには、顧客が新たな注文を行っていない場合、記録は180日後に削除されることも明記されている。ただし、この削除規定は、今回の漏にどの時点の過去の購入記録が含まれていたかを特定していない。また、開示では影響を受けた購入日も明示されなかった。

開示では、不正アクセスがどの期間可能な状態にあったかも明らかにされていない。調査当局者はこれまでのところ、この侵入の実行犯を公に特定しておらず、ウェブサイトへの侵入に使われた正確な手法についても説明していない。影響を受けた顧客にはメールで通知が行われており、同社はより詳細なインシデント報告書が後日公表されると述べたが、公表日は示されていない。

顧客へのフィッシング警告

ウォレットセキュリティに関する説明にもかかわらず、Keystoneは顧客に対し、不正な返金申し出、交換デバイスを装った詐欺、注文サポートを装ったメッセージに注意するよう警告した。こうしたアプローチは、メール、電話、テキストメッセージを通じて現れる可能性がある。いずれも顧客の注文やデバイスに関する主張を含んでおり、これはまさに漏洩した記録に含まれる情報のカテゴリーである。顧客には、リカバリーフレーズや秘密鍵を共有しないこと、予期しない交換デバイスにリカバリーフレーズを入力しないこと、不審なリンクをクリックしないことが推奨された。同社は、すべての通信を公式チャネルを通じて確認するよう顧客に促した。

ハードウェアウォレット販売業者に共通するより広いパターンの一部

今回の漏洩は、ハードウェアウォレット販売業者をめぐる一連の顧客データインシデントに加わるものとなった。8月には、Trezorが配送業者ShipMonkにおける漏洩を開示し、その後、新たに約67,000人の米国の顧客が影響を受けたと特定した。SafePalも、39,798人の顧客に影響を与えた注文追跡機能の認可不具合を開示しており、この件では個人情報と購入記録が漏洩したものの、ウォレットの認証情報が直接漏洩することはなかった。

これらのインシデントを総合すると、小売チェーンの異なる層にまたがっている——Keystoneではストアフロントプラットフォーム、Trezorでは配送業者、SafePalでは注文追跡機能である。いずれのケースでも、漏洩した情報は注文や出荷管理のシステム内に存在しており、ウォレットの署名メカニズムにはなかった。Keystoneは依然として、影響を受けた顧客数、根本的なアクセス手法、漏洩期間を公表していない。日程が示されていない詳細なインシデント報告書が、これらの答えが示される予定の公表経路である。