キーストーン、工場用キー窃取で出荷停止、未販売ウォレット1万8835台を破棄へ

キーストーンは月曜日、攻撃者が端末の認証に使う工場用キーを入手したことを受け、未販売のハードウエアウォレット1万8835台を破棄すると発表した。同社はウェブサイトで受け付けた未出荷の注文すべてについて、出荷を停止した。情報漏えいは10月20日に検知された。キーストーンによると、リカバリーフレーズと秘密鍵は関係していない。10月20日より前に配送された端末への影響はないという。

キーストーンは、盗まれた認証情報を「WebAuthキー」と呼んでいる。工場では各端末にキーを組み込み、キーストーンのウェブサイトがハードウエアの真正性を確認できるようにしている。キーは削除も交換もできない。キーストーンによると、攻撃者は流出したキーを使い、認証を通過する偽造ウォレットを作成できる。顧客が知らずに偽造端末を購入または受け取り、その端末で暗号資産を保管した結果、資産を盗まれる可能性があると同社は警告した。

キーストーンは土曜日、第三者が顧客の配送情報を入手したと最初に公表した。盗まれたキーと影響を受けた購入者記録の件数は月曜日に公表した。キーストーンは攻撃者を特定しておらず、攻撃者が最初にアクセスした時期も明らかにしていない。

キーストーンによると、今回の問題は、オンライン販売を扱う同社のShopifyストアにある購入者記録5万1083件に関係した。同社によると、このうち2万5119件では個人情報がすでに消去されていた。残る2万5964件は2024年から2026年までの記録で、氏名、連絡先、配送先住所、注文情報が含まれていた。Amazonやその他の販売経路で購入した顧客には影響がなかった。

キーストーンの方針では、購入者記録は180日後に削除することになっていた。しかし、自動一括削除ツールは安定して動作していなかった。削除処理の一部が失敗し、同社はその失敗を速やかに特定して解決できなかったという。キーストーンは、許可された期間を超えて一部の個人情報を保持していたことを認め、約束した削除期限を守れなかった責任を認めた。

キーストーンは、資産の移行やウォレットの認証、調査への協力を持ちかける詐欺師に注意するよう顧客に警告した。同社は顧客に端末の返送を求めることはないとしている。リコールを持ち出して端末の発送を求める人物は詐欺師とみなすべきだと警告した。

キーストーンのウェブサイトでは、新しいキーを搭載した端末の生産が完了するまで予約注文を受け付ける。同社によると、今回の問題をEU、英国、その他の管轄区域の当局に報告した。顧客データの保管期間は180日から90日に短縮した。キーストーンは10月24日、期限を過ぎた購入者データをすべて削除するようShopifyに要請した。削除処理には10日間の待機期間が必要となる。同社は11月3日までに削除が完了する見込みだとしている。

ハードウエアウォレットメーカーでは、顧客データの流出が繰り返し起きている。Ledgerの2020年の情報流出では最終的に約29万2000人の顧客が影響を受け、その後、受信者の間で自宅への侵入を懸念する声が出るほど、フィッシングメールが相次いだ。Trezorは8月、顧客1万3689人に影響する情報流出を公表した。SafePalも8月、約3万9798人に影響する情報流出を公表した。氏名や住所が流出すると、犯罪者が暗号資産保有者を脅迫または暴行して送金を強いる「レンチ攻撃」のリスクが生じる。Chainalysisによると、2026年上半期にはこうした暴力的な攻撃が46件記録され、損失は3000万ドルを超えた。