日曜日、Keystoneの社内規定では購入者データを180日後に消去するとされているのに、なぜ2024年の注文記録がまだ保存されていたのかを尋ねました。Keystoneは回答しましたが、そこにはさらに大きな問題が含まれていました。

10月20日に同社のウェブサイトへ侵入した攻撃者は、デバイスが本物かどうかを確認するためにKeystoneが使う鍵も盗みました。この鍵は工場で各ウォレットに書き込まれ、消去も書き換えもできません。鍵を使えば、Keystone独自の真贋判定を通過する偽造品を作れる可能性があります。そのため同社は、在庫にある18,835台を廃棄し、ウェブサイト経由の出荷を一時停止。新しい鍵を使った予約販売に切り替えています。

データについては、Keystoneのストアには購入者の記録が51,083件ありました。そのうち25,119件は180日ルールに基づいて削除済みでした。残りの25,964件（2024年から2026年までの記録）は、氏名、連絡先、配送先住所、注文内容などが流出した可能性があります。Keystoneによると、自動消去ツールが機能せず、誰もそれに気づきませんでした。未払いのチェックアウト記録12,873件も、流出した可能性があります。Keystoneによれば、リカバリーフレーズ、秘密鍵、決済情報は流出していません。

Keystoneをお持ちの方への影響は次のとおりです。10月20日より前に届いた製品は、認証チェックに合格すれば問題ありません。10月20日以降に届いた製品は、チェックに合格した場合でも、Keystoneのサポートに直接確認してください。同社によると、今回の件だけを理由に$BTC を移す必要はありません。またKeystoneは、デバイスを返送するよう求めることは決してないとのことです。「リコール」を知らせるメールや電話、荷物は詐欺です。

#CryptoSecurity #ハードウェアウォレット
投資助言ではありません。ご自身で調査してください。