はい、偽造ウォレットが本物として通用する可能性があるため、Keystoneは18,835台のデバイスを販売せず、廃棄することにしました。攻撃によってユーザーの資金が直接盗まれたわけではありません。盗まれたのは、各デバイスが本物であることを証明するため、Keystoneが工場で全デバイスに組み込んでいるWebAuthキーです。このキーは、一度インストールされると消去も書き換えもできません。キーのコピーを持つ者は、Keystone独自のオンライン認証チェックを通過できる偽造ウォレットを製造できてしまいます。購入者が偽造デバイスを接続してチェックを実行し、合格したのを見れば、安全だと思い込んでしまうでしょう。 重要なのは、Keystoneが示した対応方針です。10月20日より前に届いたデバイスは、認証に合格すれば問題ありません。一方、10月20日以降に受け取ったデバイスに古いキーが残っている場合、チェックに合格しても偽造品である可能性を完全には否定できないとKeystoneは説明しています。該当する所有者は、デバイスを使用する前にKeystoneのサポートに連絡し、追加の認証を受ける必要があります。 情報漏えいは、KeystoneのShopifyストアで使用されていたサードパーティ製監視ツールの脆弱性を通じて発生しました。2024年から2026年までの購入者記録25,964件が流出し、氏名、連絡先、配送先住所などが含まれていました。またKeystoneは、自動データ削除ツールがひそかに機能停止していたことも認めました。そのため、一部の記録が約束していた180日間の保存期限を過ぎても保管されていました。今後は保存期間を90日に短縮し、期限を過ぎた記録の削除は11月3日までに完了する見込みです。