キーストーン・ウォレットの個人情報漏洩で顧客住所が詐欺師にさらされる

キーストーンの顧客データ漏洩により、購入者が標的型詐欺の危険にさらされる

仮想通貨の秘密鍵をオフラインで保管できるよう設計されたハードウェアウォレットですが、今回はオンラインストアというまったく別の場所でセキュリティ上の問題が生じました。土曜日の米国東部時間午後1時59分、キーストーンは不正な第三者がウェブサイトを通じて顧客の配送情報を入手したことを公表しました。これにより、詐欺師が同社を装うために必要な個人情報を入手した可能性があります。

Keystoneはリカバリーフレーズや秘密鍵、支払い情報は漏洩していないと主張していますが、所有者の身元や住所が露見したことで、オフラインウォレットがどれほどの保護を提供できるのかという懸念が生じています。

キーストーン、不正アクセスを確認

キーストーンはX上で、10月20日に不審なアクセスを検知し、その後、ECプラットフォームプロバイダーであるShopifyとのアプリケーションプログラミングインターフェース（API）のアクティビティを調査したと明らかにしました。10月23日までに、同社は不正な第三者が顧客の氏名、連絡先情報、配送先住所、および購入詳細情報を入手したことを確認しました。

同社は侵入を阻止し、脆弱性へのパッチを適用し、影響を受けた顧客への通知を開始したと述べている。しかし、キーストーンは、何人の購入者が情報漏洩の被害に遭ったか、また不正アクセスが具体的にどのように発生したかについては明らかにしていない。

詐欺師たちに好機が生まれる

差し迫った危険は、必ずしも誰かが遠隔でハードウェアウォレットの残高を空にするということではありません。むしろ、正当な顧客情報を利用して、説得力のある詐欺を仕掛ける者が現れることです。キーストーンは、不正な返金提案、交換機器の提供、および機密情報を要求する不審なメッセージについて顧客に警告しました。同社は、リカバリーフレーズや秘密鍵を要求することは決してないと強調しました。

攻撃が確認される前日の22日には、あるXユーザーが「99％の確率で貴社の顧客データベースが漏洩したのではないかと確信しているため、ここで注意喚起しておきます」と投稿していました。 モントリオールのSPVMを装った番号から電話があり、相手がソーシャルエンジニアリングで私を騙そうとした」と、Xアカウント「OG Degen」は記した。顧客は、予期せぬリンクをクリックするのではなく、キーストーンの公式ウェブサイトを通じて連絡内容を独自に確認すべきだ。

2026年、ハードウェアウォレットのセキュリティが再び打撃を受ける

キーストーンの公表は、ハードウェアウォレットメーカーにとって厳しい1年が続いた後の出来事だ。Coldcardは、シード生成のランダム性が不十分という重大なバグに直面し、推定損失額も甚大であった一方、Ledgerは再販業者を通じて流通したデバイスが改ざんされていたという報告に直面した。

TrezorやSafepalも、サードパーティのフルフィルメントや注文システムに関連して顧客情報が漏洩したと公表しました。リカバリーフレーズが侵害された事案とは異なり、これらの情報漏洩は主にフィッシングやなりすましの機会を生み出しました。Keystoneの場合、暗号学的防御は機能したと報じられています。懸念されるのは、顧客の個人情報が同等の保護を受けていたかどうかという点です。