Keystone、公式サイトへの不正アクセスを確認し顧客情報流出を発表

更新 06:40 UTC： Certikの報告書によると、暗号資産保有者を狙った強制的な手口であるレンチ攻撃と呼ばれる物理的強要事案が、2026年上半期に世界で52件確認され、前年同期の39件から33.3%増加した。

Keystoneがサイト侵害を正式認める

エアギャップ方式のハードウェアウォレットを手がけるKeystoneが、公式オンラインストアから顧客の配送関連情報が外部の第三者に盗まれたことを認めた。公式アカウントから10月24日に公開された発表によれば、同社は10月20日にウェブサイトへの不正アクセスを検知。電子商取引基盤を提供するShopifyとともにアプリケーションプログラミングインターフェース(API)の通信記録を検証した結果、10月23日時点で第三者がデータを取得していたことを確認したという。発表文は謝罪の言葉から始まり、個人情報の保護を託された顧客の信頼を裏切る結果となったことを認めている。ハードウェアウォレット購入時に盗まれた記録には、氏名、連絡先、配送先住所、注文された製品とその価格が含まれる。一方、決済用カード情報、銀行口座情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは露出しなかったとされる。同社は不正アクセスの遮断と脆弱性の修正を済ませ、調査を開始した。影響を受けた顧客へのメール通知も始めており、詳細なインシデント報告書の作成を進めている。ただし発表は複数の点で具体性を欠く。攻撃者の名前、影響を受けた顧客数、侵入の起点となった日時、悪用された脆弱性の種類はいずれも明らかにされていない。盗まれたAPI認証情報が使われたのか、ストアフロント側の欠陥なのか、それとも別のインフラ上の弱点なのかも公開段階では判別できない。ShopifyのAPI通信に言及した点は、調査担当者が何を検証して流出を確定したかを示すものだが、Shopifyの基盤そのものが侵害されたことを意味するわけではない。Shopifyは店舗のインフラと、加盟店や許可されたアプリケーションが顧客記録や注文を管理するためのプログラムインターフェースを提供しており、接続されたアプリケーションに付与された権限の範囲が到達できるデータの量を決める。今回どの認証情報や権限が関わったのかは、依然非公開のままだ。

@KeystoneWallet · Xの投稿

発表.

Xで見る

フィッシング警告と物理的脅威

流出の直接的な危険は、Keystoneのシステムの外で顕在化する。氏名と自宅住所はハードウェアウォレットを購入した実在の人物を特定でき、正確な注文情報が添えられると詐欺メッセージの説得力は格段に上がる。同社は、Keystoneを装った電子メール、電話、ショートメッセージ、実宛て郵便による詐欺に注意するよう顧客に呼びかけた。想定される手口には、偽の返金、代替端末の提供、配送情報の修正依頼などがある。利用者には、リカバリーフレーズを決して共有しないこと、注文していない端末にリカバリーフレーズを入力しないこと、不審な連絡が来た場合は公式サポートに直接確認することが求められている。セキュリティ開発者のTaylor Monahanはさらに踏み込んだ警告を発し、物理的脅威に関する警告の中で強盗や誘拐にも言及した。業界ではレンチ攻撃と呼ばれる手口で、犯人が暴力によって資産の引き渡しを強要する。ただし公表された資料の中に、盗まれた記録と実際に発生した攻撃を結びつける確証はない。Binanceの元最高経営責任者であるChangpeng Zhaoは発表に短いメッセージで反応し、「Stay SAFU!」と書いた。この事件は、2020年に競合メーカーのLedgerで起った侵害を想起させる。攻撃者はAPIキーを使い、同社の電子商取引とマーケティング関連データベースの一部に到達した。当時の公表では約100万件のメールアドレスと、約9,500人の顧客の詳細な個人情報が漏洩したとされた。ところが盗まれたデータベースが2020年12月に公に流出すると、同社は氏名、郵送先住所、電話番号を含む約272,000件というより大規模な露出を認めた。Ledgerを装った偽の手紙は2025年4月になっても顧客に届いており、受取人にQRコードを読み取りリカバリーフレーズを入力するよう指示していた。別件として、Ledgerは東南アジアの代理店から端末を購入した利用者の資産消失を調査中で、予防措置として当該代理店に販売と出荷の停止を求めている。

この警告はDogecoinコミュニティにも届いている。コミュニティ内で著名な存在であるMishaboarが、同トークンの保有者に向けてX上で注意喚起を投稿した。DogecoinはKeystone端末がBitcoin、Ethereum、Solanaとともに対応する通貨だ。Mishaboarは、標的型のフィッシング電子メール、ショートメッセージ、電話、場合によっては実宛て郵便を想定すべきだと利用者に伝え、住所に結びついた郵便を使う詐欺が過去にTrezorやLedgerの顧客を襲ったと指摘した。投稿では、盗まれた配送記録が自宅住所とハードウェアウォレットの購入を結びつける可能性があることが強調され、影響を受けた顧客には、ソーシャルメディア上で自身や家族についてさらなる詳細を明かさないこと、リカバリーフレーズを決して共有しないこと、心当たりのない代替端末の提供を疑うことが助言された。

この侵害は、セキュリティ事故が相次ぐ暗号資産業界に追い打ちをかける形となった。Ledgerは今月上旬、東南アジアの一部代理店を通じて販売された正規端末に悪意ある第三者が隠しハードウェアを組み込んでいたと発表した。改ざんされた端末は初期設定時に24語のリカバリーフレーズを読み取り、LTE回線経由で送信していたという。Ledgerはセキュリティチップ、オペレーティングシステム、内部サーバーは侵害されていないとし、今回の事案をインフラ全体の妥協ではなく特定の流通経路に限定された攻撃として位置づけている。また、盗まれた資産が8,600万ドルを超えたとする初期報道については確認していない。一方、Trezorは今なお、夏に物流委託先のShipMonkで起きたハッキングの対応に追われている。この事故では顧客の氏名、電子メールアドレス、電話番号、配送先住所、注文詳細が流出し、当初は米国の13,000人超とされたが、その後の公表で80,000人を超える規模に拡大した。

この侵害は、Keystoneのプライバシーに関する宣伝にも疑問を投げかける結果となった。同社はここ数か月、配送データは注文から180日後に完全に削除されるという誓約を繰り返し発信しており、1月5日にX上で投稿したほか、3月と8月にも同様の主張を掲載し、プライバシー・プロミスのページでも取り上げていた。公表後はこの誓約に疑義を呈する顧客が現れている。ユーザーの@trintaetres_33は2年前に購入した端末が漏洩通知の対象になったと述べ、@BlockchainBarmyは最後の注文から侵害発生まで214日だったと計算し、@PEPE_Whale69は公表前にモントリオール警察を装う人物から電話を受け、2024年のKeystone注文の詳細を読み上げられたと報告した。2021年5月に最終更新されたKeystoneのプライバシーポリシーはより限定的な表現を用いており、サポートセンターは市区の記録と国の記録は削除されず、削除はShopifyが処理すると明記している。

この警告には、より広い背景事情がある。Certikの報告書によると、暗号資産保有者を狙った強制的な手口であるレンチ攻撃と呼ばれる物理的強要事案が、2026年上半期に世界で52件確認され、前年同期の39件から33.3%増加した。記録された損失と恐喝額は約1億2,410万ドルで、前年同期の約1,050万ドルから急増している。購入者の実住所の露出に対するMonahanの警告は、こうしたデータと相まって発せられたものだ。新たな情報源は、SafePalを業界の事故リストに加えており、注文追跡の欠陥により同社顧客約40,000人分のデータが露出したと伝えている。一方、Keystoneは問題となった旧注文について緊急調査を開始したが、2年前の記録に関する主張が今回の侵害に由来するものかは、まだ独自に確認できていない。

@tayvano_ · Xの投稿

物理的脅威に関する警告.

Xで見る

Keystoneが答えていない問い

今回の発表で最も重い事実は、盗まれなかったものの存在だ。コールドウォレット型の設計が機能し、暗号資産ウォレットの資格情報は流出データの中に一切含まれておらず、露出は完全に個人情報にとどまる。したがってリスクは人間の層へ移る。攻撃者は実在の注文履歴を、電話や手紙と組み合わせて使うことになる。Keystoneの今後の報告書が答えるべき未解決の問いは三つある。影響を受けた顧客の数、アクセスの始まった時期、そして侵入者が使用した認証情報の種類だ。Ledgerの2020年のデータベースが、前年の時点まで詐欺の燃料として6年間使われ続けた事実は、身に覚えのない返金、代替品提供、配送メッセージを、メーカーとの直接確認が済むまですべて敵性のものとして扱うべき理由を示している。