Keystone、Shopifyストアへの不正アクセスでハードウェアウォレット購入者の住所が流出したと発表

ハードウェアウォレットメーカーのKeystoneは、Shopifyを利用したオンラインストアに侵入者が不正にアクセスし、顧客の氏名、連絡先、配送先住所、注文記録が持ち出されたと発表した。ただし、決済データ、リカバリーフレーズ、秘密鍵は流出していないという。
侵入は10月20日に発覚し、10月23日に確認
香港を拠点とする同社は10月24日（土）、Xで謝罪し、10月20日に公式ウェブサイトへの不正アクセスを検知したと説明した。ShopifyとAPIの利用状況を確認した結果、10月23日に第三者が顧客の配送データを取得したことを確認したという。
「こうした詳細情報を私たちに預けてくださったのに、安全に守れず申し訳ありません」とKeystoneは記した。
Keystoneが2026年10月24日にXで@KeystoneWalletから投稿した情報漏えいに関する声明。
Keystoneによると、流出した記録には氏名、連絡先、住所、購入した商品や価格などの注文情報が含まれていた。一方、リカバリーフレーズ、秘密鍵、ウォレットのパスワード、カード情報や銀行口座情報にはアクセスされていないという。
同社はアクセスを遮断し、脆弱性にパッチを適用して調査を開始し、影響を受けた顧客へのメール送信を始めたと述べた。被害者数や侵入経路、攻撃者に関する情報は明らかにしていないが、詳細な報告書を近日中に公表するとしている。
Keystoneは購入者に対し、返金や新しい端末、注文や住所に関する「修正」を持ちかける偽者から、電話、SMS、メール、郵便で連絡が来る可能性があると警告した。また、注文していない端末にリカバリーフレーズを入力しないこと、keyst.oneのアドレスを自分で入力することも呼びかけた。
Keystoneが公表する前の金曜夜、Xユーザーの@PEPE_Whale69が情報流出の可能性を報告した。モントリオール警察の番号を偽装した人物から電話があり、Amazon、eBay、Keystoneに心当たりがあるか尋ねられたという。
投稿によると、電話をかけてきた人物が知っていた詳細は、ユーザーの2024年のKeystone注文と一致していた。Keystoneは土曜午前1時8分（米東部時間）に「本件について緊急調査を開始しました」と返信した。
顧客の証言では、180日を過ぎた注文情報も流出
Keystoneは、データの削除を売りの一つとしてきた。Ledgerの顧客に、ECパートナーのGlobal-eで発生した情報流出が通知された1月5日、Keystoneは「ご注文から180日後に、配送データは完全に削除されます」と投稿した。
「他社のハードウェアウォレットはデータを永久に保管します。私たちは配送情報を最長180日で削除します」とKeystoneは3月に記した。
土曜日、@trintaetres_33は、2年以上前に端末を購入したにもかかわらず、情報流出に関するメールが届いたと述べた。@BlockchainBarmyは、最後の注文から情報流出まで214日が経過していたと語った。
偽装電話と関連づけられた2024年の注文も180日以上前のものだが、Keystoneは自社の方針に従っていたかどうかを公にしていない。また、顧客の証言はいずれも確認されていない。
Keystoneは「プライバシーへの約束」ページで、注文から180日後にすべての配送情報を自動削除すると説明している。しかし、最後に変更されたのが2021年5月のプライバシーポリシーでは、直近180日間に注文していない顧客の注文データのみを削除するとしている。
ヘルプセンターの記事によると、購入者が削除を求めた場合でも市区町村と国の記録は保持され、最終的な削除はShopifyが行う。
8月、Trezorは配送パートナーのShipMonkで発生した情報流出により、約14,000人の顧客情報が漏えいしたと発表した。その後、米国の顧客をさらに約67,000人追加した。
Trezorが最初の情報流出を公表してから数日後、SafePalは注文を管理するシステムの不具合により、約40,000人の顧客情報が漏えいしたと発表した。
Cryptopolitanは今月初め、CryptoBilisが販売したウォレット内部の隠しチップが、初期設定中に24語のリカバリーフレーズを読み取り、LTE経由で外部に送信していたことをLedgerが確認したと報じた。オンチェーン調査員は損失額を8,600万ドル超と推定した。
これを受け、Trezorは2027年1月1日から一部の再販業者への販売を停止する。
KeystoneのウォレットはQRコードで取引に署名するため、USB、Bluetooth、Wi-Fi接続を必要としない。今回のハッキングでは、同社のShopifyストアが被害を受けた。
この記事を読んでいるあなたは、すでに一歩先を行っています。ニュースレターでその先を行き続けましょう。