Keystoneウォレットの侵害を受け、暗号資産ハードウェアウォレットメーカーは、製品が正規品かどうかの確認に使うキーを攻撃者が入手したことから、未販売端末18,835台を廃棄する計画を進めている。Keystoneは、交換用端末の準備を進める間、ウェブサイトで受け付けた未履行注文の出荷を停止した。

重要ポイント

  • 盗まれた認証キーにより、偽造ウォレットがKeystoneの認証プロセスを通過する可能性がある。
  • 同社は、購入および決済に関する記録のうち、流出した可能性があるものを38,837件特定した。これらが必ずしも別々の個人に対応するとは限らない。
  • Keystoneによると、リカバリーフレーズ、秘密鍵、パスワード、決済情報は侵害されていない。

Keystoneウォレットの侵害が未販売端末に影響する理由

2026年10月26日の調査状況報告で、Keystoneは、10月20日に発生したオンラインストアへの侵害で、攻撃者がWebAuthの端末認証キーにアクセスしたと明らかにした。同社によると、攻撃者はウェブサイトに接続されたサードパーティー製データ監視ツールの脆弱性を悪用した。

このキーは製造時にウォレットに組み込まれ、その後に消去したり書き換えたりすることはできない。Keystoneは、真正性の確認が難しくなる可能性のある端末を流通させるのではなく、影響を受けた在庫を廃棄する計画だ。今後の生産では、新たに生成したキーを使用する。

Keystoneによると、この認証情報はリカバリーフレーズを生成したり、秘密鍵を導出したり、取引を承認したりすることはできない。しかし、このキーを持つ攻撃者は、認証時に偽造端末を正規品に見せかけることができる可能性がある。

既存のウォレット所有者への案内

Keystoneによると、10月20日より前に受け取り、認証済みのウォレットは引き続き安全に使用できる。同社は、それ以降に旧キーを含む端末を受け取った顧客に対し、追加の認証について公式サポートに連絡するよう案内した。

同社は、物理的なリコールは実施せず、顧客に既存のウォレットの返却を求めることもないと述べた。交換用端末の準備を進める間、予約注文方式に移行している。

流出した顧客情報

Keystoneは、顧客を特定できる情報が残っていた購入記録25,964件と、氏名、連絡先、配送情報を含む未完了の決済記録12,873件を特定した。合計38,837件の記録が、必ずしも同じ人数の個人に対応するとは限らない。

同社によると、自動削除システムが、告知していた180日間の保存ポリシーを一貫して適用できていなかった。保存期間を90日に短縮し、期限を過ぎた記録の削除を申請した。Shopifyの処理日程に基づき、削除は11月3日までに完了する見込みだった。

Keystoneは、影響を受けた顧客に個別に通知し、自身の情報が流出したかどうかを確認できるサービスを導入する計画だ。また、欧州連合（EU）や英国を含む関係する法域の規制当局と法執行機関に通知したと述べた。

次の節目

次の節目として示されているのは、期限を過ぎたデータ削除申請が11月3日までに完了する見込みだ。

ニュースをもっと読む

FinanceVelixのその他のニュース

免責事項

この記事はFinanceVelixが一般情報を提供するものであり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済状況は変化する可能性があり、投資には損失のリスクが伴います。記載内容は公開時点で入手可能な資料に基づいており、変更される場合があります。重要な情報はご自身で確認し、必要に応じて資格を有する専門家にご相談ください。資産、企業、サービスへの言及は推奨を意味するものではありません。