Keystoneの件で、最も眉をひそめるべきなのは、購入者情報2万6,000件が漏れたことではない。「真贋確認」の仕組みが丸ごとダメになったことだ。

10月26日の公式発表によると、10月20日の攻撃は公式サイトに設置されたサードパーティ製監視ツールが侵入口で、攻撃者はWebAuth keyも持ち去った。このキーは製造時にデバイスへ書き込まれており、変更できない。署名やシードフレーズの生成には使えないため、公式も多くの速報アカウントも、最初に「秘密鍵と資産は安全」と伝えている。

その説明自体は間違っていないが、肝心な点を避けている。ハードウェアウォレットが売りにしているのは何か？ それは「手元のこの端末が本物である」という保証だ。今や公式の真贋確認ページは偽物を見破れない。旧キーを使った在庫18,835台は廃棄するしかなく、10月20日以降に届いた製品については、ユーザー自身がサポートに確認しなければならない。

つまり、漏れたのは氏名、電話番号、配送先住所で、失われたのは「本物である証明」だ。詐欺師はあなたが何を買ったか、どこに住んでいるかを知っている。理屈の上では、公式の検査を通過する端末を作って送りつけることだってできる。メールアドレスの一覧が漏れるだけより、はるかに危険だ。

数日前には速報アカウントが「影響は限定的」と繰り返していた。さらにXでは、「What if a hardware wallet's genuine check can be forged?」という同じ文句を使ったアカウントがすでに大量に投稿している。句読点までほぼ同じだ。便乗投稿も鵜呑みにしないほうがいい。

私の考えはシンプルだ。ハードウェアウォレットは公式ルートからのみ購入し、「回収」「交換」「アップグレード」の連絡はすべて詐欺として扱うこと。Foundationではつい最近、公式ドメインを使った偽の回収メールが確認された。この手口は、すでに詐欺師に通用している。

#Keystone #ハードウェアウォレット