キーストーン社、サイト侵害と認証キー漏えいを受け顧客データ流出を発表 — ハードウェアウォレット18,835個を破棄へ

脆弱性を突いたサイト侵入とデータ自動削除ツールの停止

暗号資産向けセルフカストディ型ハードウェアウォレットを展開する香港のKeystone（キーストーン）社にて、深刻なセキュリティインシデントが発生したことが明らかになった。

We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we’re sorry we didn’t keep them safe. Exposed: names, contact details, shipping addresses, and order details (items and prices). Not exposed: payment card or bank details, recovery phrases, private keys, or wallet passwords. We’ve blocked access, fixed the vulnerability, opened an investigation, and are emailing affected customers. Scammers may pose as Keystone by phone, text, email, or mail, offering refunds, replacement devices, or "fixes" for your order or address. None of it is from us. NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order. We will never ask for them. Don’t click links in unexpected messages. Type https://t.co/7km8AZM288 yourself. A detailed report is coming soon. Until then, trust only our official channels. If anything feels off, email support@keyst.one. We’d rather hear from you than have you take a chance. Again, we’re truly sorry to everyone affected.

— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026

サードパーティ製ツールの脆弱性を突いた不正アクセスにより、顧客の個人情報が流出したほか、デバイスの真贋確認に用いる重要な認証キーが盗み出される事態に発展している。

2026年10月20日（火曜日）、Keystone社の監視システムが公式サイトにおける異常アクセスを検知。調査の結果、同社が導入していたサードパーティ製データ監視ツールの脆弱性が悪用され、攻撃者が権限昇格を行っていたことが判明した。10月23日にはShopify（ショッピファイ）のAPI経由で第三者が顧客データへ不正にアクセスしていた事実が確認された。

漏えいしたデータには、2024年から2026年の間に公式ストアで購入した顧客25,964人分の氏名、連絡先、配送先住所、注文内容に加え、決済未完了のデータ12,873件が含まれている。

本来、同社はプライバシー保護のため購入者データを180日間保持した後に削除する運用方針を掲げていた。しかし、自動削除ツールが正常に作動しておらず、期限を超過したデータがシステム内に残存していたことが流出を拡大させる要因となった。同社は管理体制の過失を認め、保持期間を90日に短縮するとともに、Shopify社へ保持期限切れデータの削除申請をしている。

認証キーWebAuth流出に伴う18,835台の製品廃棄

データ流出以上に深刻な影響をおよぼしているのが、製造時にハードウェアへ書き込まれるWebAuthキー（認証キー）の盗難だ。このキーは顧客が専用サイトで製品が正規品かどうかを検証する際に使用されるもので、一度組み込まれると消去や書き換えができない。

幸いにも、このキー自体は秘密鍵の生成や取引の署名処理には関与しておらず、暗号資産のリカバリーフレーズ、ウォレットパスワード、銀行口座情報や身分証明書番号などの最重要データは流出していないと報告されている。

しかし、盗まれた認証キーが悪用されると、公式の検証チェックを通過してしまう精巧な偽造ウォレットが作られるリスクが生じる。これを受け、Keystone社は大きな水際対策に踏み切った。流出キーが組み込まれた在庫18,835台をすべて廃棄することを決定し、公式サイトからの出荷を一時停止。製造プロセスを新しい認証キーへと切り替え、未発送分は代替品の準備が整うまで保留とする措置を講じている。

利用者が直面するリスクとフィッシング詐欺への警戒

配送先住所や連絡先といった実生活に直結する情報の流出により、ユーザーに対する脅威は多角化。セキュリティ研究者は、漏えいした住所情報をもとに暗号資産保有者を直接狙う物理的な強盗や脅迫（レンチ攻撃）のリスクが高まっていると強い懸念を示している。

また、すでに法執行機関やKeystone社のサポート担当者を装い、「秘密鍵が危険にさらされている」「代替デバイスの手配や返金を行う」といった口実で偽サイトへ誘導する標的型フィッシング電話・メールが報告されている。

同社はユーザーに対し、以下の点について強く注意を呼びかけている。

10月20日以前に届いたデバイスの安全性：
過去に配送され認証を通過した製品は継続して利用可能。ただし10月20日以降に旧キー搭載の製品を受け取った場合は、使用前にサポートへの問い合わせが必要。
偽のリコール詐欺への警戒：
同社が顧客に対してウォレットの返送を求めることは一切ないため、「製品回収」を理由にデバイスの送付やリカバリーフレーズの入力を求めてくる連絡はすべて詐欺とみなすこと。
資産移動の必要性：
今回の件で既存ユーザーが緊急で暗号資産を別の場所へ退避・移動させる必要はない。

暗号資産ハードウェア業界では、Trezor（トレザー）の委託先物流会社からのデータ流出や、Ledgerにおける改造デバイスの流通など、物理およびデータ領域での攻撃手法が巧妙化している。Keystone社は規制当局や法執行機関へ事態を報告するとともに、アクセス制御やキー管理手順の抜本的な見直しを進めている。