18,835個の暗号資産ハードウェアウォレットが破棄の危機、キーストーンのセキュリティ侵害が深刻化

認証キーの盗難により、キーストーンは18,835台のウォレットを廃棄せざるを得なくなりました。

当初は顧客情報の漏洩と思われていた事態が、はるかに深刻なセキュリティ問題へと発展しました。2026年10月26日、キーストーンは、攻撃者が同社のハードウェアウォレットの真偽を確認するために使用される認証キーも入手していたことを明らかにしました。

同社は、この侵入の原因を、攻撃者がアクセス権限を昇格させることを可能にしたサードパーティ製のデータ監視ツールの脆弱性に特定しました。キーストーンは10月20日に不審な活動を検知し、脆弱性のあるウェブサイトの機能を無効化し、フォレンジック調査を開始しました。

盗まれたWebAuthキーは特に深刻な問題です。このキーを所持する攻撃者は、キーストーンの真正性チェックを通過できる偽造デバイスを製造することが可能であり、疑いを持たない購入者が資産を盗まれる危険にさらされる恐れがあります。キーストーン社は、このキーは製造時に恒久的に埋め込まれており、書き換えや消去は不可能であると説明しました。 このため同社は、侵害されたキーを含む既存在庫18,835台を廃棄する方針です。新規製造されるウォレットには代替の認証キーが搭載されます。一方、Keystoneは代替品の生産が準備できるまでウェブサイトでの未発送注文の出荷を一時停止し、予約注文方式に切り替えています。

データ削除システムの不具合により、約26,000件の購入者記録が流出

調査の結果、キーストーンの顧客データ管理にも重大な不備があることが明らかになりました。調査対象となった51,083件のShopify購入者記録のうち、25,964件には氏名、配送先住所、連絡先、2024年から2026年までの購入履歴などの個人情報が残っていました。 キーストーン社は、自動削除システムに不具合が生じ、180日間の保存ポリシーを超えて顧客情報が保存されたままになっていたことを認めました。「顧客データを期限内に消去するという約束を果たせなかった。この失敗について責任を負う」と同社は述べました。

調査員らはまた、機密性の高い顧客情報が含まれている可能性のある未決済チェックアウト記録12,873件を特定しました。キーストーン社はこれらの記録も対応対象に含め、追加の削除依頼を開始しました。 同社は保存期間を90日に短縮しており、10月24日に提出された期限切れの購入者データ削除依頼については、11月3日までに処理が完了する見込みです。キーストーン社の最新の事後分析報告書は、同じく顧客データの漏洩被害を受けたボストンのハードウェアウォレットメーカー「ファウンデーション」による開示に続くものです。

既存のウォレット所有者への新たなセキュリティガイダンス

キーストーン社は、リカバリーフレーズ、秘密鍵、ウォレットの認証情報、および支払い情報は漏洩していないと主張しています。顧客に対しては、今回のインシデントだけを理由に仮想通貨を移動するよう指示は出されていません。同社によれば、10月20日以前に配送されたデバイスは、認証に合格すれば引き続き安全に使用できるということです。 それ以降に侵害された鍵で受け取ったデバイスは、認証に成功した場合でもカスタマーサポートを通じて追加の検証が必要です。また、キーストーンはデバイスの返却を求める詐欺的なリコールメッセージについて顧客に警告しました。同社はEU、英国、その他の管轄区域の規制当局へ報告書を提出しており、情報漏洩の照会ツールを導入し、さらなるセキュリティ監査を実施する計画です。 第三者への依存を排除するよう設計されたデバイスを販売するメーカーにとって、自社のハードウェアへの信頼を確立する鍵を失うことは、とりわけ深刻な矛盾を呈しています。