Keystoneのこのインシデント報告は、すべてのハードウェアウォレットユーザーが熟読すべき内容です。本当に危険なのは、シードフレーズがネットワークに接続されたかどうかだけではありません。「デバイスが本物であることを証明する」ための検証鍵がコピーされた可能性があるのです。

攻撃者は、Keystone公式サイトで使用されていたサードパーティ製データ監視ツールの脆弱性を悪用して権限を昇格させ、一部の顧客情報と、デバイスの真贋を検証するためのWebAuth鍵を取得しました。理論上、攻撃者は公式の認証を通過できる偽造デバイスを製造できる可能性があります。

Keystoneは旧鍵の製造を停止し、在庫にある旧鍵搭載デバイス18,835台を廃棄するとともに、公式サイトでの未発送注文を一時停止し、予約販売方式に切り替えました。10月20日までに受け取り、検証に合格したデバイスは通常どおり使用できます。10月20日以降に受け取った旧鍵搭載デバイスは、検証に合格した場合でも、カスタマーサポートに連絡して追加の確認を受ける必要があります。公式がユーザーにデバイスの返送を求めることはなく、シードフレーズを尋ねることもありません。

幸い、シードフレーズ、秘密鍵、決済情報は流出していません。しかし、氏名、連絡先、配送先住所、注文の詳細は取得されました。個人情報が残っているShopifyの購入記録25,964件と、決済が完了していないチェックアウト記録12,873件が影響を受けています。ユーザーは今後、カスタマーサポート、アフターサービス、配送業者を装った標的型フィッシングに特に注意する必要があります。

ハードウェアウォレットはオフラインにできますが、ブランドの公式サイト、サードパーティ製スクリプト、サプライチェーンは常にオンラインです。セキュリティは、デバイスの電源を入れた瞬間に始まるものではありません。

#Keystone #硬件钱包 #サイバーセキュリティ