Keystoneのサイト侵害で顧客データや配送先住所が流出、フィッシング詐欺やセキュリティへの懸念が高まる

Eコマース基盤への侵入と顧客データの漏えい状況

暗号資産をオフラインで管理する大手ハードウェアウォレットメーカーKeystone（キーストーン）は、自社のECサイトに対する不正アクセスが発生し、顧客の個人情報が漏えいしたことを明らかにした。

We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we’re sorry we didn’t keep them safe. Exposed: names, contact details, shipping addresses, and order details (items and prices). Not exposed: payment card or bank details, recovery phrases, private keys, or wallet passwords. We’ve blocked access, fixed the vulnerability, opened an investigation, and are emailing affected customers. Scammers may pose as Keystone by phone, text, email, or mail, offering refunds, replacement devices, or "fixes" for your order or address. None of it is from us. NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order. We will never ask for them. Don’t click links in unexpected messages. Type https://t.co/7km8AZM288 yourself. A detailed report is coming soon. Until then, trust only our official channels. If anything feels off, email support@keyst.one. We’d rather hear from you than have you take a chance. Again, we’re truly sorry to everyone affected.

— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026

重要データの安全性は保たれているものの、漏えいした配送情報を利用したフィッシング詐欺や物理的危害に対する注意が呼びかけられている。同社の発表によると、同社は10月に自社ウェブサイトへの不審なアクセスを検知。その後の調査により、ECプラットフォームShopify（ショッピファイ）に関連するシステム（API）の挙動を通じて、外部の第三者が顧客データを取得していた事実が判明した。流出した情報には、以下の項目が含まれています。

・顧客の氏名、電話番号、メールアドレス
・商品の配送先住所
・注文した製品の種類および購入金額

一方で、暗号資産の資産管理における最重要データであるリカバリーフレーズ（復元フレーズ）、秘密鍵、ウォレットのパスワードに加え、クレジットカード情報や銀行口座情報は一切流出していないと同社は説明しています。

偽サポート詐欺や物理的脅威に対する強い警戒感

今回の事案を受け、専門家や業界関係者からは二つの大きなリスクが懸念されている。

標的型フィッシング詐欺（ソーシャルエンジニアリング）
流出した注文情報を元に、公式サポートや配送業者を装った偽メッセージ（メール、SMS、電話等）が送られる可能性がある。

「返金対応」「無料の代替デバイス送付」「配送住所の確認」などを口実に偽サイトへ誘導し、秘密鍵やリカバリーフレーズを入力させようとする手口が予想される。同社は「公式サポートが復元フレーズを尋ねることは絶対にない」と強調している。

物理的な犯罪リスク（レンチ攻撃）
「誰がハードウェアウォレットを購入し、どこに住んでいるか」という自宅住所の露出は、強盗や脅迫といった物理的な暴力によって資産を強奪する「レンチ攻撃」のターゲットにされる危険性を高める。

頻発するハードウェアウォレット業界のインシデント

暗号資産のセルフカストディ＝自己管理を支えるハードウェアウォレット業界では、近年セキュリティインシデントが相次いでいる。

Ledger：
過去のデータベース流出に加え、第三者販売ルートでのデバイス改ざん・不正ハードウェアの埋め込み疑惑が報告されている。

Trezor / SafePal：
外部の物流委託会社ShipMonk（シップモンク）やサイト上のプラグインの脆弱性を経由し、数万人規模の顧客配送データが流出する被害が発生している。

製品本体の暗号化技術自体は破られていなくても、製品を購入・配送する「サプライチェーン」や「顧客データベース」が弱点となり、ユーザーの安全が脅かされる事例が目立っている。

今後の対応とユーザーが取るべき対策

Keystoneはすでに不正アクセスの遮断と脆弱性の修正を完了しており、影響を受けたユーザーに対して個別の通知と調査報告を進めている。

ユーザー側には、心当たりのないリンクを開かないこと、公式チャネル以外の問い合わせに応じないこと、そしてどのような状況であってもリカバリーフレーズを第三者に教えたり、不審な端末に入力したりしないことが強く求められている。