「秘密鍵のシードフレーズは漏れていないので、影響は限定的」——今回のKeystoneのデータ漏えいで、いちばん腹が立つのは、この一文が速報アカウントにそのまま何度も転載されたこと。

何が漏れたのか？氏名、連絡先、配送先住所、注文の詳細。何を買ったか、いくら使ったかまで含まれている。公式発表によると、10月20日にShopify経由でデータが持ち出されたことを発見し、10月23日にようやく確認した。

つまりこういうことだ。「どこの家にハードウェアウォレットがあり、だいたいいくらの機器を買ったか」というリストが、今や他人の手に渡っている。

これで影響は限定的？ウォレットはコールドでも、家の玄関は無防備だ。

しかも詐欺師の動きは発表より早い。10月23日には、モントリオール警察の番号を装った電話を受けたというユーザーの投稿があった。相手は開口一番「200人を逮捕した」と言い、少しずつ情報を聞き出そうとした。そのユーザーはその時点で、Keystoneの顧客データベースが漏れたのではないかと疑っていた。

Ledgerも漏えいし、Trezorでも同じようなことがあった。そして今度はKeystone。ハードウェアウォレットが売りにしているのは安心感なのに、いちばん安全でない部分はオンラインストアの管理画面だった。

購入した人は、いくつかのことを面倒がらずに守ってほしい。「新しい機器への交換」「セキュリティアップグレード」「警察への捜査協力」をうたうメール・電話・SMSはすべて詐欺だと思うこと。シードフレーズは誰に聞かれても教えないこと。今後注文するとき、受け取りスポットに配送できるなら自宅住所を書かないこと。

オンチェーンがどれだけ安全でも、住んでいる場所を知られていたら防ぎきれない。

#Keystone #ハードウェアウォレット