ハードウェアウォレットを手がけるKeystone（キーストーン）は2026年10月26日、公式サイトへの不正アクセスにより、端末が本物かを確かめるための認証鍵が盗まれたと発表した。この鍵を書き込んだ未出荷の在庫18,835台は破棄するという。
盗まれた認証鍵（同社の呼称は「WebAuth key」）は製造時に端末へ書き込まれ、後から消去も交換もできない。悪用されれば、真贋チェックを通過する偽造端末を作られるおそれがあると説明する。
今後の端末にはあたらしい鍵を使い、準備が整うまで未発送の注文の出荷を止める。公式サイトでの販売は、当面は予約注文のみとしている。
今月20日より前に届いた端末は、真贋チェックを通れば使い続けられるという。一方、それ以降に古い鍵の端末を受け取った場合はチェックを通っても偽造品の可能性があるとして、使う前に公式サポートで確認するよう求めている。
リカバリーフレーズや秘密鍵、決済情報、公的な身分証の番号は影響を受けておらず、今回の件だけを理由に資産を移す必要はないとしている。Keystoneは声明で「顧客データを期限通りに消去するという約束を果たせなかった。その責任を受け止める」と述べた。
Keystoneによると、侵入者は外部のデータ監視ツールの脆弱性を突いて権限を引き上げた。今月20日に不正アクセスを検知し、23日に顧客の配送情報が取得されたことを確認、24日にXで第1報を出していた。
Shopify上の注文記録51,083件のうち、25,119件はすでに個人情報を消していたが、残る25,964件（2024〜2026年の購入分）には氏名、連絡先、配送先住所、注文内容が含まれていた。個人情報が残っていた記録は、全体の半分を超える。このほか、決済を終えていないチェックアウトの記録12,873件も対象になりうるとしており、実際の人数はわかっていない。
同社は注文から180日以内に顧客データを消す方針を掲げていたが、自動削除の仕組みが一部で失敗し、気づかないままだったという。保存期間は90日に縮め、今月24日には90日を過ぎた購入者の個人情報をすべて消すようShopifyに依頼したとしている。EUや英国などの当局への報告も、すでに済ませたと説明する。
ハードウェアウォレットの購入者情報の流出は、8月にも相次いでいた。Trezorは8月13日、配送委託先のShipMonk（シップモンク）への不正アクセスで顧客13,689人の情報が漏れたと公表した。SafePal（セーフパル）も8月16日、注文追跡システムの不備により39,798人分の氏名や住所が流出したと明らかにした。
2社はいずれも、端末や秘密鍵には影響がないとしていた。今回のKeystoneの件は、購入者の情報に加えて、端末の真贋を確かめる仕組みの鍵まで盗まれた点が異なる。
Keystoneは、返金や交換品の送付、住所変更、資産の移し替え、ウォレットの検証などを持ちかける連絡は同社からのものではないとして注意を呼びかけている。回収を名目に端末の返送を求める相手も詐欺とみなすよう求めた。あわせて、注文していない端末にはリカバリーフレーズを入力しないよう訴えている。
画像：Shutterstock
