- ハッカーは、ShopifyベースのストアからKeystone購入者の氏名、連絡先情報、配送先住所、注文詳細を盗みました。
- Keystoneは、支払いカード、リカバリーフレーズ、秘密鍵、ウォレットパスワードが漏洩していないと述べた。
- 一部の顧客によると、Keystoneの削除約束にもかかわらず、180日以上前の注文からのデータが漏洩したという。
ハードウェアウォレットメーカーのKeystoneは、侵入者がShopify搭載のオンラインストアに侵入し、顧客名、連絡先情報、配送先住所、注文記録を持ち去ったと明らかにした。ただし、支払いデータ、リカバリーフレーズ、秘密鍵は含まれていない。
侵害発見：10月 20、確認：10月 23
香港拠点の同社は10月24日（土）にXで謝罪し、10月20日に公式ウェブサイトへの不正アクセスを発見し、ShopifyとのAPIアクティビティを確認した結果、10月23日に第三者が顧客の配送データを取得したことを確認したと発表した。
「あなたたちはその情報を私たちに預けてくれたのに、安全に守れなかったことをお詫びします」とKeystoneは書いた。
盗まれた記録には氏名、連絡先情報、住所、購入商品とその価格などの注文情報が含まれるが、リカバリーフレーズ、秘密鍵、ウォレットパスワード、カードおよび銀行の詳細は外部に漏れていないとKeystoneは説明した。
同社はアクセスを遮断し、脆弱性を修正し、調査を開始し、影響を受けた顧客へのメール送信を開始したと述べた。被害者数、侵入経路、攻撃者の情報については一切明らかにしておらず、詳細な報告書はまもなく公開される予定だとだけ伝えている。
Keystoneは、詐欺師が電話、SMS、メール、郵送などで返金、新製品、「注文や住所の修正」などの名目で連絡してくる可能性があることを購入者に警告した。また、購入していないデバイスにリカバリーフレーズを入力しないこと、keyst.oneのアドレスは自分で入力するようにも促している。
Keystoneが公衆に情報を公開する前に、X（旧Twitter）ユーザーの@PEPE_Whale69氏が金曜日の夜にデータ漏洩の可能性を報告していた。同氏は、モントリオール警察の番号をなりすました人物から電話があり、Amazon、eBay、Keystoneの意味を理解しているか尋ねられたと述べている。
投稿では、通話者の説明がユーザーの2024年のKeystone注文の詳細と一致しているとされた。Keystoneは土曜日の午前1時8分（ET）に「この件について緊急調査を開始した」と返信した。
顧客によると、180日以上の過去の注文情報が漏洩したという
Keystoneはデータ削除をセールスポイントとして強調してきました。1月5日、Ledgerの顧客がeコマースパートナーGlobal-eでのリークについて通知された同日、Keystoneは「注文から180日後、配送データは完全に削除されます」と投稿しました。
「他のハードウェアウォレットはデータを永久に保持しますが、Keystoneは最大180日以内に配送情報を削除します」と、Keystoneは3月に記している。
土曜日、@trintaetres_33氏は、2年以上前にデバイスを購入したにもかかわらず、侵害に関するメールが届いたと述べた。@BlockchainBarmy氏は、最後の注文から侵害まで214日経過していたと語った。
スプーフィング（なりすまし）電話に関連する2024年の注文も180日以上前のものであるが、Keystoneは自社ポリシーを遵守したかどうかを公に明らかにしておらず、顧客の主張はいずれも検証されていない。
Keystoneのプライバシープロミスページでは、すべての配送情報は注文から180日後に自動的に削除されるとされています。しかし、2021年5月に最後に更新されたプライバシーポリシーでは、過去180日以内に注文を行っていない顧客に対してのみ注文データが削除されると記載されています。
ヘルプセンターの記事によると、削除を依頼した場合でも都市と国の記録は保持され、最終的な削除はShopifyが行うとされている。
8月、Trezor社は配送パートナーのShipMonkでの侵害により、ほぼ1万4,000人の顧客情報が漏洩したと発表し、その後、米国人顧客を約6万7,000人追加して総数を引き上げた。
Trezor社の最初の開示から数日後、SafePal社は注文追跡システムにバグがあり、ほぼ4万人の顧客情報が暴露されたことを発表した。
Cryptopolitanは今月初め、LedgerがCryptoBilisによって販売されたウォレット内の隠しチップがセットアップ中に24語のリカバリーフレーズを読み取り、LTE経由で送信していることを確認したと報じました。オンチェーン研究者によると、損失額は8,600万ドル以上です。
このため、Trezorは2027年1月1日より一部の再販業者への販売を停止します。
KeystoneウォレットはQRコードを使用してトランザクションに署名するため、USB、Bluetooth、Wi-Fi接続を必要としない。今回のハッキングは同社のShopifyストアに影響を与えた。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
Keystoneの侵害でどのようなデータが暴露されたのか？
氏名、連絡先情報、配送先住所、注文詳細（購入商品および価格を含む）。ただし、支払いデータ、リカバリーフレーズ、秘密鍵は漏洩していません。
Keystoneはいつ侵害事案を発見しましたか？
Keystoneは10月20日に不正アクセスを検知し、10月23日に第三者が顧客の配送データを取得したことを確認しました。
なぜ顧客はKeystoneのデータポリシーを疑問視しているのですか？
Keystoneは注文から180日後に配送データを削除すると約束していましたが、一部の顧客によると、過去の注文に関するデータが漏洩していたとのことです。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
