Keystoneのセキュリティ侵害が深刻化：ウォレットの本物性を検証する鍵がハッカーに窃取

ハードウェアウォレットメーカーKeystoneは、先週自社ウェブサイトが侵害された際、デバイスの真正性を検証する鍵も窃取されたと発表し、当初顧客データ漏洩として公表された事案の影響範囲が拡大した。

Keystoneは月曜日の声明で、窃取された認証鍵により攻撃者が真正性チェックを通過する偽造ウォレットを製造可能になると述べた。

「これらのデバイスは販売または顧客へ出荷され、利用者が本物と知らずに使用することで、資産盗難につながる可能性がある」とKeystoneは述べた。

今回の事案は、今年ハードウェアウォレットメーカーを標的とした一連の攻撃に加わるものである。

今月初め、Ledgerは東南アジアおよび香港の販売代理店に対し、地域で販売されたデバイスに回復フレーズを収集可能な不正インプラントが含まれているとの報告を受け、販売を一時停止するよう要請した。

7月下旬、ColdcardメーカーCoinkiteは、デバイスが意図よりエントロピーの低いウォレットシードを生成する脆弱性を攻撃者が悪用し、数百万ドル相当の暗号資産が盗まれたため、ユーザーに警告を発した。

Keystone、旧鍵搭載デバイス18,000台以上を破棄へ

最新の更新で、Keystoneは攻撃者が自社ウェブサイトで使用していたサードパーティ監視ツールの脆弱性を悪用し、権限昇格を実行したと説明した。

「これにより攻撃者は一部の顧客情報および当社デバイスの真正性を検証するための鍵を取得した。」

Keystoneは、侵害された鍵を搭載する在庫中の18,835台のデバイスを破棄する計画であり、当該鍵を使用するすべてのデバイスの出荷を一時停止した。

同社は、新認証鍵を採用したデバイスの生産を開始次第、出荷を再開すると述べた。

Keystoneは、10月20日の事案発生前に製造・納品されたデバイスは安全と見なし、その真正性チェックは信頼できると述べた。

ただし、同日以降に納品されたデバイスの真正性は保証できず、該当顧客にはサポートチームへ連絡して追加確認を依頼している。

Keystone、購入者記録25,964件が漏洩と確認

Keystoneはまた、顧客データ漏洩の規模を明らかにし、自社ウェブサイトのShopifyストアで51,083件の購入者記録が生成されたと述べた。

このうち25,119件は180日間のデータ保持ポリシーに基づき削除済みである。

しかし、2024年から2026年までの残り25,964件の記録が攻撃者によって窃取された可能性がある。キーストーン社は、古いデータが自動削除ツールの不具合により削除されなかったと説明した。

「このツールは信頼性が低く、一部の削除タスクが失敗しました。当社はこれらの失敗を適切なタイミングで検知・対応できず、許容期間を超えて個人情報を保持してしまいました」とキーストーン社は述べた。

さらに、攻撃者は、Shopifyが保持していた12,873件の未完了購入に関する顧客チェックアウト記録にもアクセス可能だった可能性がある。

キーストーン社は、30日以上保持されているチェックアウト記録内の個人情報について、Shopifyに削除を要請したと発表した。

本件は、2020年6月のレジャー社によるデータ漏洩事件（100万件以上のメールアドレスおよび顧客名・電話番号・住所が暴露）と類似している。流出した情報は、被害ユーザーを標的としたフィッシング攻撃の長年にわたる原因となった。

他にも、今年、ハードウェアウォレットメーカー各社が、顧客情報および第三者サービスを介したセキュリティ侵害を受けています。

8月にはトレザー社が物流パートナーの breached を公表し、9月には影響を受けたユーザー数が8万件以上に拡大した。

セーフパル社も8月に注文追跡機能の脆弱性を報告し、約4万件の顧客データが漏洩。ビットボックス社は9月、第三者メールプロバイダーの乗っ取りを介したフィッシング攻撃の標的となった。

雑誌：ビットコイン保管のためのレジャー以外の5つの選択肢