Keystone、デバイス認証キーの盗難を受け未販売ウォレット18,835台を破棄へ

攻撃者が同社デバイスの真正性確認に用いるキーを取得したことを受け、Keystoneは未販売のハードウェアウォレット18,835台を破棄する計画だ。同社は10月26日、オンラインストアの顧客情報へのアクセスを含む、今回のインシデントの広範な影響を公表した。

Keystoneは、LaceやEternlを含む複数のCardanoウォレットをサポートしている。Laceは8月にKeystone対応を追加し、ユーザーはハードウェアデバイス上でトランザクションを承認しつつ、Cardano資産を管理できるようになった。

ウェブサイト侵害でデバイス検証キーが流出

Keystoneは10月20日、公式ウェブサイトへの不審なアクセスを検知した。調査の結果、攻撃者は同サイトで使用していたサードパーティのデータ監視ツールの脆弱性を悪用し、権限を昇格させて顧客情報およびデバイス認証キーへのアクセスを得ていたことが判明した。

影響を受けたWebAuthキーは製造時にデバイスへ書き込まれ、消去や置換はできない。Keystoneは同キーを認証ページを通じてデバイスの真正性確認に利用している。

同社によれば、このキーを保持すれば、認証チェックを通過してしまう偽造デバイスを作成できる可能性があるという。Keystoneは旧キーの生産での使用を停止し、当該キーを含む在庫の18,835台すべてを破棄する計画だ。

また同社は、公式ウェブサイトでの未出荷注文の発送を停止した。新しい認証キーを搭載したデバイスの生産が始まるまで、販売は予約受付方式へ切り替える。

既存デバイス向けの案内を発表

Keystoneは、当該認証キーはデバイスの真正性確認のみに用いられると説明した。リカバリーフレーズの生成、秘密鍵の導出、トランザクションの署名には使用されない。

同社は、今回の事案にリカバリーフレーズ、ウォレットの秘密鍵、その他のウォレット認証情報は関与していないと報告。今回の侵害だけを理由に資産を移動する必要はないと付け加えた。

10月20日以前に届けられたデバイスについては、認証に影響はないとKeystoneは述べた。その日付以前に納品されたデバイスが同社の認証チェックに合格すれば、真正品と見なすことができる。

10月20日以降に受け取り、旧キーを使用しているデバイスには追加の検証が必要となる。既存のチェックを偽造デバイスが通過してしまう恐れがあるとして、Keystoneは使用前にカスタマーサポートへ連絡するよう所有者に注意喚起した。

LaceはQRコードを通じてKeystoneに接続し、トランザクションはハードウェアウォレット上で承認および署名される。秘密鍵はインターネットに接続された画面に表示されることはなく、デバイス内にとどまる。

[NEWSBREAK]

顧客記録とデータ保持

今回の侵害は、Keystoneの公式ウェブサイト上のShopifyストアを通じた購入記録に及んだ。同社は、2024年から2026年にかけての購入者記録25,964件に、氏名、連絡先、配送先住所、注文情報などの個人情報が依然として含まれていたことを確認した。

別の25,119件の購入者記録は、不正アクセス前にすでに匿名化されていた。さらにKeystoneは、チェックアウト時にユーザーが入力した情報を含んでいたため、未決済のチェックアウト記録12,873件もインシデント対応の対象に含めた。Amazonやその他の販売チャネルの購入情報は影響を受けていないという。

Keystoneは、従来の180日という上限を超えて一部の顧客情報が保持されていたことを認めた。自動削除ツールが一部の処理を完了できていなかったためだという。同社は保持期間を90日に短縮し、期限超過データの削除要請については11月3日にShopifyが完了する見込みとしている。

同社は影響を受けた顧客に個別に通知し、自身の情報が流出したかを確認できるページを提供する予定だ。また、資産移行を持ちかけたりデバイスの返送を求めたりする詐欺的な連絡に注意を促し、同社がデバイスの返送を求めることはないと明言した。