キーストーン、ウェブサイト侵害受け未販売端末1万8835台を廃棄、出荷停止へ

ハードウェアウォレットメーカーのキーストーン（Keystone）は、同社ウェブサイトへの不正アクセスを受け、未販売の端末1万8835台を廃棄し、出荷を停止すると明らかにした。キーストーンは月曜日、攻撃者が第三者のデータ監視ツールの脆弱性を悪用し、10月20日にウェブサイトへアクセスしたと述べた。攻撃により、2024年から2026年にわたる購入者の記録2万5964件が流出した。流出した情報には、顧客の氏名、配送先住所、連絡先、注文内容が含まれていた。未払いの決済手続きに関する記録1万2873件も影響を受けた可能性がある。

キーストーンによると、攻撃者は端末がオンラインの真贋確認を通過するためのキーを盗んだ。このキーは製造時に組み込まれ、交換できないという。キーストーンは、盗難により偽造端末が本物として認証され、利用者の資金が危険にさらされるリスクが生じたと述べた。同社によると、今回の不正アクセスでリカバリーフレーズ、秘密鍵、ウォレットの認証情報は明らかになっていない。

キーストーンによると、自動削除ツールが停止したものの、同社はその不具合に気づかなかった。このため、一部の顧客記録が同社の180日間の保存期間を超えて閲覧可能な状態に置かれていた。キーストーンは、約束した期間内に顧客情報を削除できなかった責任を認めた。

キーストーンによると、10月20日より前に届けられた端末は、認証を通過すれば安全だという。同社は、同日以降に旧キーを使った端末を受け取った顧客に対し、使用前に追加の確認を受けるよう勧めた。また、今回の不正アクセスだけを理由に、利用者が資金を移す必要はないと述べた。同社は、端末の回収や資産の移転を求める詐欺メッセージに注意するよう警告した。

今回の不正アクセスに先立ち、今年はハードウェアウォレットの安全性を損なう別の攻撃も起きている。犯罪者は東南アジアの再販業者を通じて販売されたLedger端末に隠し部品を取り付け、初期設定時にリカバリーフレーズを取得した。Coldcardのシード生成ソフトウェアの脆弱性を悪用すれば、攻撃者が秘密鍵を再構成し、遠隔からウォレットの資金を空にできた。

キーストーンが今回の更新情報を公表したのは、ハードウェアウォレットメーカーのFoundationが別の不正アクセスを明らかにした翌日だった。Foundationによると、同社の公式ドメインから送信されたように見えるフィッシングメールが確認された。同社は、フィッシングメールを送信しようとする試みが2万3000件を超えたことを確認した。Passport端末や秘密鍵が侵害された証拠は見つかっていないという。

Foundationはまた、同社の60日間の削除手続きで見落とされていた古いデータベースのコピーを発見した。同社によると、攻撃者は郵送先住所約5600件を含む記録にアクセスできる状態だった。また、アクセス可能な記録には電話番号約5200件も含まれていた。攻撃者が実際に何件の記録にアクセスしたかは特定できなかった。