ハードウェアウォレットメーカーのKeystoneは、サイバー攻撃によりアプリケーションの一部サービスが妨害されたことを受け、Nexusアプリのバージョン1.3.7への更新をユーザーに呼び掛けています。11月6日（金）に発表されたこの件は、オンラインストアでの顧客データ漏えいおよびデバイスの正規性確認に使用されるキーの窃取に続く、約2週間で3回目のセキュリティ開示となります。

Nexusアプリへの攻撃とv1.3.7の修正

Xへの投稿において、Keystoneは一部のNexus Appサービスがサイバー攻撃により侵害され、一部のユーザーが一定期間アプリを起動できなかったと説明しました。同社はチームがこの事案に対応し、サーバーセキュリティを強化したとしています。Keystoneの発表では、影響を受けたサービスの詳細や攻撃者の特定には言及されていません。

調査の結果、Keystoneは「ユーザーの資産または個人情報に影響が及んだ証拠は確認できなかった」と述べました。同社は混乱を謝罪し、アプリをv1.3.7に更新するようユーザーに案内しました。また、ダウンロードするアプリの開発元として「Yanssie HK Limited」が表示されていることを確認するよう注意を促し、その開発者が表示されていないアプリはKeystoneのものではないと付け加えました。

25,964件の購入者記録が流出したストア侵害

最初の開示は、KeystoneのShopifyベースのオンラインストアに侵入者が到達したことに関するものでした。Cryptopolitanの先行報道によると、10月20日に不正アクセスが検知され、10月23日に第三者が顧客の配送データを取得したことを同社が確認、翌日にこの情報を公表しました。

盗まれた記録には、氏名、連絡先情報、配送先住所、購入されたデバイスを含む注文情報が含まれていました。同社によると、支払いカード、銀行口座情報、リカバリーフレーズ、秘密鍵は流出していないといいます。

2024年から2026年にかけての購入に関する25,964件の購入者記録が盗まれたデータに含まれていたと報じられています。Keystoneは予防措置として、未払いのチェックアウト記録12,873件も計上しました。

自宅住所が漏えいに含まれていたことから、セキュリティ研究者のTaylor Monahanは、所有者に暗号資産の引き渡しを強要する物理的な脅しである「レンチ攻撃」のリスクに所有者をさらす可能性があると指摘しました。暗号資産セキュリティプラットフォームのCertikは、2026年上半期にこうした攻撃52件を確認しており、前年に記録された39件から増加しています。

廃棄の対象となる18,835台のウォレット

ユーザー記録の窃取を開示して数日後、Keystoneは最初の侵害の責任者である同一の攻撃者が、デバイスの正規性を証明するために使用されるWebAuthキーも奪取したと発表しました。攻撃者は同社ウェブサイト上のサードパーティ監視ツールの脆弱性を悪用して権限を昇格し、顧客データとキーの両方を取得したと報じられています。

このキーは製造時に各デバイスに書き込まれ、書き換えが不可能であるため、問題は重大です。キーを保有する者は、Keystone自身の真正性チェックを通過する偽デバイスを作成できる可能性があります。これを受けて、Keystoneは侵害されたキーを搭載した未販売ユニット18,835台すべてを廃棄することを決めました。

同社によると、10月20日より前に配送され、チェックを通過したウォレットは正規品です。それ以降に受け取った旧キーのユニットについては、「偽造である可能性を完全に排除することはできない」とし、使用前にサポートに連絡するよう所有者に指示しました。これまでのところ、偽造デバイスや盗難の報告はありません。

削除ツールの不具合を受け、保持期間を90日に短縮

Keystoneは注文から180日後に配送データを消去すると公表していましたが、顧客から2年以上前の購入に関する侵害通知が届いたとの報告が寄せられていました。Cryptopolitanが報じたように、同社の自動消去ツールが機能せず、古い記録が残されたままでした。

Keystoneはその後、保持期間を90日に短縮し、Shopifyに対してそれより古い個人データの削除を要請しました。期限超過の記録は11月3日までに削除される見込みです。競合のOneKeyもKeystoneの件を受けて、自社の保持期間を30日に上限設定しました。

暗号資産プロジェクトは2026年、サイバー攻撃に悩まされる一年となっており、ハードウェアウォレット提供企業も例外ではありません。8月には、Trezorの物流パートナーの一つであるShipMonkで発生したデータ侵害により、約81,000人の顧客が影響を受けました。SafePalは注文追跡機能の不具合により約39,798人のユーザー情報を晒し、Ledgerでは再販されたデバイスに隠されたチップが発見され、オンチェーン研究者は8,600万ドルを超える損失と関連付けています。Keystone自身の2週間にわたる開示の連続は、ストアフロント、ウェブサイトのツール、未販売デバイスの在庫、アプリサービスに及ぶ、その問題の広がりを反映しています。