OneKey、顧客データの保存期間を30日に制限。Keystoneの削除約束は不履行

OneKeyの創業者であるYishi Wang氏は、競合ハードウェアウォレットメーカーであるKeystoneが約26,000人の購入者レコードを暴露する侵害事件後に自社の180日間のデータ削除システムの失敗を認めたことを受け、顧客データを30日以内に削除することを約束した。

Keystoneのヘルプセンターによると、ユーザーレコードの最終的な削除はShopifyによって処理される。この開示は、OneKeyやKeystoneのようなウォレットメーカーの管理を超え、前者の30日間の約束にもかかわらず、Shopifyストアおよび物流企業のレベルでのセキュリティ上の脆弱性を露呈している。

OneKeyがデータ保持期間を短縮する理由

OneKeyのYishi Wang Ajna 火曜日の発表で、ハードウェアウォレットメーカーが、最近の侵害やサプライチェーン攻撃により自社の事業分野でセキュリティ上の脆弱性が露見したことを踏まえ、自社のセキュリティシステムを自主監査していると明らかにしました。

ワンキー（OneKey）は、この措置は予防的なものだと強調し、「OneKeyではセキュリティインシデントは発生していません」と記しています。むしろ、データ保持期間を30日に制限する決定は、他社で何が起こったかに対する直接的な対応です。

データ保持期間を短くする理由は、ベンダーが顧客データを長く保持すればするほど、侵害時に暴露される顧客データの量が大きくなるからです。

Keystoneの侵害は何が原因でしたか？

Keystone 明らかにした 180日間のデータ保持期間終了時に顧客データを自動的に削除するシステムが、警告なしに機能停止していたことが判明しました。「当社は顧客データの期限付き消去という約束を果たすことに失敗し、この失敗に対して責任を負います」と同社は述べています。

Keystoneは、ある調査において、25,964件のレコードに個人データ、氏名、配送先住所、連絡先情報、購入履歴などが依然として含まれていることを発見しました。 51,083件のShopify購入者記録のレビューなんと、2024年以前のデータまで保持されており、180日という上限を大幅に超えていました。 同社はこれを強調しました 2026年1月、Ledgerの顧客がECパートナーのGlobal-eでのデータ漏洩を知った後。

調査官は、さらに1万2,873件の未払いチェックアウト記録に機密情報が含まれていることを発見した。

これに対応し、Keystoneは保持期間を90日に短縮した。

Keystoneはまた、10月26日、攻撃者がデバイスが正規品であることを証明するために使用するWebAuthキーも盗み出し、第三者の監視ツールの脆弱性により侵入者がアクセス権限を昇格させたことが侵入の原因であると明らかにした。Keystoneはこの活動に10月20日に初めて気づいた。

このキーは製造時に各デバイスに焼き込まれており、上書きできないため、Keystoneはこれを搭載している在庫の全1万8,835台を廃棄する計画だ。新しいウォレットには代替キーが採用される。

同社は未完了のウェブサイト注文の出荷を停止し、予約販売に移行した。

削除の約束は、データを保有するパートナー次第でしか信用されない

特筆すべきは、ハードウェアウォレットメーカーだけが顧客データを保持しているわけではないということだ。ECプラットフォームや配送業者も顧客の名前、住所、注文履歴を扱っており、最近の大半の侵害はこのレベルで発生している。

Trezorのデータ漏洩 ShipMonkの配送パートナーが、繰り返し書面での保証にもかかわらずレコードを削除しなかったため、8万1000人の顧客に到達しました。SafePal 39,798人の顧客に関する情報が暴露 注文追跡の脆弱性を通じて行われ、その後、保持期間を90日に短縮しました。Ledgerは、CryptoBilisから再販売されたデバイスに回復フレーズを記録するチップが隠されていたことを確認しました。Cryptopolitanはオンチェーン研究者を引用し、 推定損失額 は$86百万以上と見積もっています。