Keystone、認証鍵窃取を受け未出荷の18,835台のハードウェアウォレットを廃棄へ

WebAuth鍵の窃取で在庫廃棄に踏み切る

暗号資産ハードウェアウォレットメーカーのKeystoneは、自社デバイスの正規性を証明する暗号鍵が攻撃者に盗まれたことを受け、未出荷の18,835台を廃棄する方針を明らかにした。10月26日(月曜日)に公開した事後報告によると、盗まれたのは生産時にデバイスへ恒久的に組み込まれるWebAuth鍵で、書き換えも消去もできない。そのため、この鍵を使って組み上げられた模造品が、正規品の検証をすり抜けて出荷される恐れがある。検証機能は偽造ユニットが購入者の手に届くのを防ぐために存在するだけに、製造レベルの鍵の喪失は深刻だ。模造品がベンダーの全チェックを通過したうえで、攻撃者が実質的に支配する暗号資産ウォレットへ資金を誘導する可能性も指摘される。すでに組み上がったユニットについては鍵の失効措置が取れない。

社内調査により、侵入の起点は第三者製データ監視ツールの脆弱性と判明。攻撃者はこれを足がかりに公式サイトでの権限を昇格させた。10月20日(火曜日)に不審なアクティビティを検知し、該当するサイト機能を無効化したうえでフォレンジック調査を開始。10月23日(金曜日)には第三者が顧客の配送情報を取得したことを確認した。現在、ウェブ受注分の出荷は停止中で、ストアは予約販売方式へ切り替わった。新しい鍵を使う代替生産がいつ完了するかについて、Keystoneは言及していない。最新の更新で同社は、リカバリーフレーズ、秘密鍵、ウォレット認証情報、決済情報は漏えいしていないこと、10月20日より前に納入されたデバイスは正規性検証を通せば引き続き安全に使えること、それ以降に受け取ったユニットはカスタマーサポート経由で追加確認が必要なことを説明した。同社は欧州連合や英国など複数の管轄区域へ規制報告を提出済みで、情報漏えい照合ツールの提供も計画している。この件だけを理由に資金を移すよう顧客に求めることはなく、デバイスを送り返すよう促す偽の回収メッセージは無視するよう注意を呼び掛けている。

@KeystoneWallet · Xの投稿

最新の更新.

Xで見る

25,964件の購入者情報が削除期限を超えて残存

同じ調査の過程で、顧客データ管理の不備も明らかになった。レビュー対象となったShopify購入者記録51,083件のうち、25,964件に氏名、配送先住所、連絡先、購入履歴(2024年から2026年分)といった個人情報が残っていた。Keystoneは約束していた180日間の保持期間を過ぎても情報が保管されていたことを認め、自動削除システムが正常に動作していなかったと説明した。「顧客データを期日までに削除する約束を果たせず、その責任を負う」と同社は述べている。保持ポリシーに従い約25,000件はすでに完全消去済みだが、削除ツールの信頼性が損なわれていた実態を示す形となった。調査では、機密性の高い可能性がある詳細を含む未払いチェックアウト記録12,873件も特定され、削除キューに追加された。今後は保持期間が90日に短縮され、10月24日に提出された期限超過分の削除要求は11月3日(火曜日)までに完了する見込みだ。発端は、ある顧客がKeystoneの注文情報を使った「ソーシャルエンジニアリング」の電話について言及したことだった。同社はその報告から約18時間後の10月24日(土曜日)、謝罪文で配送データ窃取を確認した。

@KeystoneWallet · Xの投稿

謝罪文.

Xで見る

Keystoneだけでなく、Foundationも同様の混乱の中にある。月曜日の早朝、Cloudflare上のAPIキーの一部が漏えいした結果、Foundation独自のドメインから送信されたフィッシングメールがPassportユーザーへ届き始めた。同社は自社システム経由で配信されたフィッシング試行を累計20,000件超と数えており、何人のユーザーの個人データが露出したかはまだ確定できていない。メールはディスプレイモジュールをめぐる恐怖を煽る内容で、近年のLedgerデバイス侵害の手口を踏襲している。Foundationは露出の原因をデータベース移行の不備とし、旧注文テーブルがマスキングされないまま残っていたと説明。より新しいShopify注文も影響を受けた可能性があるとしているが、同社は以前、顧客データを60日以内に自動的に消去すると保証していた。共通する教訓は、いずれの事案もデバイス自体が破られたわけではなく、ウェブ基盤、データ保持衛生、データベース移行という運用レイヤーで失敗したことだ。実質的なリスクはフィッシングへ移る。氏名、住所、注文履歴の流出は、偽の電話やメールを説得力のあるものにする。近年のLedgerスパイウェア事件とColdcardのシード生成バグがもたらした損失は、同種のソーシャルエンジニアリングだけで2億ドル超に達する。リカバリーフレーズが無傷であるとのKeystoneの確認は、漏えいすればHDウォレットが導出する全アドレスが危うくなるだけに、最も安心できる事実だ。コールドウォレットを保有する anyoneの検証は公式チャンネル経由に限定し、回収や返金を謳うメッセージは確認できるまで疑うべきだ。今回の件は、実害の多くがハードウェアの欠陥ではなく、ハードウェアウォレットのよくある誤用とベンダー側の手抜かりに由来することも改めて示している。