Keystone、セキュリティ侵害を受け18,835個のウォレットを破棄へ

Keystoneは、攻撃者がデバイスの真正性確認に使われる恒久的な工場用キーを入手したことを受け、未販売のハードウェアウォレット18,835台を廃棄し、未発送の出荷を停止します。同社は10月20日に侵害を把握し、盗まれたキーではリカバリーフレーズや秘密鍵にアクセスできず、トランザクションへの署名もできないと説明しています。事件前に届けられたデバイスは、認証に合格すれば影響を受けていないとみなされます。事件後に旧キーを使用したデバイスを受け取った顧客は、使用前にKeystoneのサポートへ連絡するよう求められています。生産を新しい検証キーへ切り替える間、ウェブサイトでは新規注文を予約注文として受け付けています。 この事件では、KeystoneのShopifyストアに保管されていた顧客データも露出しました。当初影響の可能性が指摘された51,083件の記録のうち、25,964件には個人情報と注文情報が残っており、未払いのチェックアウト記録12,873件にも顧客情報が含まれていました。その後の発表によると、個人情報を含む記録25,119件は削除済みです。Amazonなど別の販売経路で購入した顧客は影響を受けていません。Keystoneは、一括削除ツールの不具合により、一部の記録が予定していた180日間の保存期間を超えて残っていたと認めました。同社は保存期間を90日に短縮し、期限を過ぎたデータの削除をShopifyに依頼しており、11月3日までに完了する見込みです。事件はEU、英国などの当局に報告されています。 暗号資産トレーダーにとって、このKeystoneの侵害はハードウェアウォレットのサプライチェーンと顧客データの取り扱いに伴うリスクを浮き彫りにしています。ただし、暗号資産の損失やトランザクション署名の侵害は報告されていません。今回の件はKeystone製品への信頼を損なう可能性がありますが、Bitcoinや暗号資産ネットワーク全体に直接的なセキュリティ上の問題があることを示すものではありません。