Signal
📡 Signal｜Keystone、認証鍵の流出で在庫の1万8,835台を廃棄
Keystone の調査報告で、購入記録に加え端末の真正性を確かめる認証鍵も流出していたことが判明。旧い鍵の在庫1万8,835台を廃棄し、出荷を止める。
ハードウェアウォレットの Keystone は10月26日、公式サイトへの不正アクセスの調査結果を公表し、購入者の情報に加えて、端末が本物かどうかを確かめるための認証鍵 (WebAuth の鍵) も攻撃者に取られていたと明らかにした。旧い鍵を書き込んだ在庫の端末1万8,835台は廃棄し、公式サイトの未発送の注文は出荷を止める。
個人情報が残っていた購入記録は2万5,964件だった。リカバリーフレーズや秘密鍵、取引の署名には影響しないと同社は説明する。ただ、鍵が漏れたことで、本物の検査を通る偽の端末を作れる余地が生まれた。被害の中心は、名簿から端末の信頼そのものへ広がった。
流出の第一報は 10月26日の記事 で伝えた。その時点で同社は、影響の人数と侵入の経路を明かしていなかった。今回の報告で、その二つと、鍵の流出という新しい事実が加わった。
侵入の経路と、消えていなかった記録
報告によると、10月20日に監視の仕組みが公式サイトへの不審なアクセスを検知し、同日に関連する機能を止めて侵入口をふさいだ。攻撃者は、サイトが使っていた外部のデータ監視ツールの脆弱性を突いて権限を広げ、顧客の情報と認証鍵を手に入れた。
対象になったのは、公式サイトの Shopify のストアで生まれた購入記録5万1,083件だ。Amazon など他の販売経路の購入情報は含まれない。
- 2万5,119件 — 不正アクセスの前に、保存期間の規則どおり個人情報が消されていた
- 2万5,964件 — 2024〜2026年の記録で、氏名・連絡先・配送先住所・注文内容が残っていた
- 1万2,873件 — 支払いを終えていない購入手続きの記録。氏名・連絡先・配送先が入っていた
残っていた2万5,964件は、本来なら消えているはずの記録だった。同社の規則では購入記録は180日で消す。だが、Shopify の管理画面では1件ずつ手で消す必要があるため、まとめて消す自前の道具を作ったところ、それが安定して動かず、一部の削除が失敗したまま気づかなかったという。同社は「期限どおりに消すという約束を果たせなかった」と認めた。
認証鍵が意味するもの
Keystone の端末には、製造の段階で認証用の鍵が書き込まれる。利用者は公式の認証ページで端末をつなぎ、この鍵を使って本物かどうかを確かめる。鍵は消すことも書き換えることもできない。
報告は、この鍵が漏れれば、攻撃者が認証を通る偽の端末を作り、販売や郵送で利用者に渡せると書いている。偽の端末を本物と信じて使えば、資産が盗まれうる。鍵はリカバリーフレーズの生成や取引の署名には関わらないが、「この端末は本物だ」と保証する仕組みの土台になっていた。
同社の対応は、製造と流通の両方に及ぶ。
- 新しく作る端末はすべて新しい認証鍵に切り替える
- 旧い鍵を持つ在庫1万8,835台は廃棄し、売らない
- 公式サイトの未発送の注文はすべて出荷を止め、新しい鍵の端末ができるまで予約販売に切り替える
利用者への案内は、10月20日を境に分かれる。それより前に届いた端末は認証の仕組みに影響がなく、認証を通れば本物として使ってよい。20日以降に届いた旧い鍵の端末は、認証を通っても偽物の可能性を完全には消せないため、使う前にサポートへ連絡して追加の確認を受けるよう求めている。
名簿と鍵がそろうと何が起きるか
前回の記事で触れたとおり、ハードウェアウォレットの購入者の名簿は、偽の「交換品」を郵送する詐欺の材料になってきた。今回は、名簿に加えて、偽の端末を本物に見せかける鍵まで外に出た。住所と、認証を通る偽の端末。詐欺に要る二つの部品が同じ事件でそろったことになる。
Keystone は、端末の返送を求めることはないと明言し、「リコール」を名乗って端末を送らせようとする連絡は詐欺として扱うよう呼びかけた。「資産の移行」「ウォレットの確認」「調査への協力」を持ちかける電話やメッセージにも応じないよう求めている。
ビットコインやイーサリアムを自分で保管する人にとって、ハードウェアウォレットの安全は端末の中の鍵だけで決まらない。端末が本物であることを保証する鍵と、購入の記録を消す運用まで含めて一つの仕組みだ。今回はその両方が同時に崩れた。
次に見るもの
確認先は二つの日付にある。一つは11月3日で、同社が Shopify に出した期限切れの個人情報の削除が、10日の待機期間を経て確定する予定日だ。同社は結果をこの告知に追記するとしている。もう一つは、同社が「近く」出すとした、個人情報が影響を受けたかを調べられる確認ページの公開だ。新しい鍵の端末の出荷再開の時期も、公式サイト (keyst.one) で追う。
ことば
- WebAuth の鍵 — Keystone が端末の真正性の確認に使う認証鍵。製造時に端末へ書き込まれ、消去も書き換えもできない。資産の鍵とは別だが、漏れると認証を通る偽の端末が作れる。
- リカバリーフレーズ — ウォレットを復元するための単語の列。これがあれば別の端末で同じ資産を動かせる。Keystone は今回の件でフレーズや秘密鍵は影響を受けていないと説明している。
- Shopify — ネットショップを作って運営するためのサービス。Keystone の公式サイトの購入記録はここに保存されており、削除の手続きもこのサービスの規則に従う。
🔗 一次ソース
