Keystone Walletのデバイス漏洩事件
暗号ハードウェアウォレットメーカーのKeystone Walletは、ウェブサイトの侵害によりデバイスの認証キーが漏洩したため、19,000台近くの未販売デバイスを破棄することを発表しました。同社は、2026年10月20日にこの事件が発覚したと述べており、攻撃者がサードパーティのデータ監視ツールの脆弱性を悪用したとのことです。
「調査の結果、攻撃者は当社のウェブサイトで使用されているサードパーティのデータ監視ツールの脆弱性を悪用して権限を昇格させました。これにより、攻撃者は顧客情報の一部と、当社のデバイスの真正性を確認するために使用されるキーを取得することができました。」
漏洩した情報の詳細
この侵害により、名前、連絡先情報、配送先住所、2024年から2026年までの注文データを含む25,964件の購入者記録が漏洩し、12,873件の未払いチェックアウト記録と真正なデバイスを確認するために使用されるWebAuthキーも漏洩しました。ただし、リカバリーフレーズ、プライベートキー、または支払い情報は影響を受けていないとのことです。
偽造デバイスのリスク
同社は、製造時にデバイスに書き込まれ、消去または書き換えが不可能な漏洩したキーが、真正性チェックを通過する偽造ウォレットを可能にし、ユーザーの資産盗難のリスクを高める可能性があると警告しています。
「このキーは、当社のデバイス認証メカニズムの信頼の基盤を形成しています。もし漏洩すれば、攻撃者はそれを使用して認証チェックを通過する偽造デバイスを製造することができます。これらのデバイスは顧客に販売または発送され、顧客はそれを真正な製品として無意識に使用する可能性があり、資産盗難につながる恐れがあります。この事件について心よりお詫び申し上げます。」
今後の対策
この問題に対処するため、同社は生産における古いキーの使用を停止し、それを含む既存の在庫18,835台のデバイスを破棄しました。また、未発送の注文の出荷を一時停止し、新しいキーを持つ新デバイスが準備できるまでプレオーダーモデルに切り替えます。さらに、データ保持期間を180日から90日に短縮し、Shopifyに消去リクエストを提出し、EU、UK、その他の規制当局にこの事件を報告しました。
ユーザーへの注意喚起
2026年10月20日以前に発送されたデバイスは、認証に合格すれば有効です。同社は、資産移行、ウォレット確認、または調査支援を提供すると主張する詐欺に対してユーザーに注意を呼びかけています。私たちをX、Facebook、Telegramでフォローしてください。
