Keystone、侵害された認証鍵を搭載した18,835台のデバイスを廃棄へ

暗号資産向けハードウェアウォレットを手掛けるKeystoneは、製造時に書き込まれる認証鍵が侵害された問題を受け、同鍵を含む在庫中のデバイス18,835台を廃棄すると発表した。この鍵は消去や上書きができず、同社はシードフレーズの生成、秘密鍵の作成、取引の署名には使われていないと説明している。鍵を入手した攻撃者は、Keystoneの認証を通過する偽造デバイスを作成できる。偽物が正規品と誤認されて顧客に届けば、顧客は暗号資産を失うことになる。 Keystoneは旧鍵の使用を完全に廃止し、新デバイスには新しい認証鍵を搭載する。在庫中で侵害された鍵を含むハードウェアウォレット18,835台は廃棄し、販売しないと約束した。公式サイトで注文された未払いデバイスの出荷を停止し、新鍵搭載デバイスの生産再開まで販売を予約受付に切り替えた。 10月20日、同社の監視システムがウェブサイト上の不審な動きを検知した。何者かがデータ監視ツールの脆弱性を悪用した。この影響で、2024年から2026年にShopify上で注文した顧客25,964人分の個人データが侵害された。氏名、連絡先、配送先住所、注文情報が流出した。シードフレーズ、秘密鍵、支払い情報へのアクセスはなかった。 同社の内部方針では顧客データは180日後に削除されることになっているが、同社担当者は一括自動削除ツールが不具合を起こしたと説明し、侵害されたデータが期限通りに削除されていなかったことを認めた。ハッカーは未完了注文の記録12,873件にもアクセスし、そこにも氏名、連絡先、配送先住所が含まれていた。 同社は、10月20日以前に届いたデバイスについて、真正性確認を通過すれば使用可能としている。10月20日以降に旧鍵搭載ウォレットを受け取った顧客には、追加確認のためカスタマーサポートへの連絡を勧めている。認証を通過しても偽造品の可能性は排除できない。同社はウォレット所有者にデバイスの返送を求めないと発表した。交換のために送付を求める人物は詐欺師だとしている。 以前、大手ハードウェアウォレットメーカーのLedgerも、ハッカー集団がデバイスを狙って購入したと認めた。攻撃者はウォレットを開けて隠しモジュールを組み込み、シードフレーズを傍受した。スパイモジュール入りのウォレットはロシアのマーケットプレイスOzonにも現れた。