ハードウェアウォレットの Keystone は 10 月 25 日未明 (日本時間)、公式サイトへの不正アクセスにより、購入者の氏名・連絡先・配送先住所・注文内容が第三者に渡ったと公式 X で公表しました。秘密鍵やリカバリーフレーズは流出の対象外とされていますが、注文内容を知った相手が「Keystone の担当者」を名乗って連絡してくるおそれがあり、Keystone で ADA を管理している方も、いまのうちに対応の手順を確かめておく必要があります。
セルフカストディ (自分で鍵を持つ資産管理) では、鍵そのものが守られていても、「誰がどの端末を買ったか」という周辺情報が攻撃の入口になります。今回の件は、その周辺情報が実際に外へ出た事例です。以下では、Keystone が公表した範囲と、Cardano の利用者が確かめておきたい点を順に整理します。
Keystone が公表した経緯と流出の範囲
Keystone の説明によると、同社は 10 月 20 日に公式サイトへの不正アクセスを検知しました。その後、ネットショップの基盤である Shopify と API の操作履歴を照合し、10 月 23 日に第三者が顧客の配送情報を取得したことを確認したとしています。公表は日本時間 10 月 25 日 2 時 59 分でした。
流出した情報と、流出していない情報は次のとおりです。
- 流出した: 氏名、連絡先、配送先住所、注文内容 (購入した商品と価格)
- 流出していない: クレジットカードや銀行の情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワード
Keystone はすでにアクセスを遮断し、脆弱性を修正したうえで調査を始めており、影響を受けた顧客にメールで連絡しているとしています。影響を受けた人数と、不正アクセスの具体的な原因は公表されていません。同社は「詳細な報告を近く出す」と予告しています。
Cardano の利用者と Keystone の接点
Keystone の公式サイトは、対応する資産の一つとして ADA を挙げています。公式ガイドには、Keystone 3 Pro を Eternl・Lace・Typhon・Begin・VESPR といった Cardano のウォレットとつなぐ手順が並んでいます。接続は QR コードの読み取りで行う方式で、Eternl のガイドは、Eternl 上のアドレスと Keystone 本体の画面に出るアドレスが一致しているかを確かめるよう案内しています。
今回流出したのは、こうした端末とウォレットのつながりそのものではなく、ネットショップ側にあった購入記録です。Keystone の説明どおりであれば、すでに手元にある端末の中の鍵や、Eternl などに登録した ADA が今回の流出で直接動かされるわけではありません。
一方で、「この人は Keystone を買っている」「この住所に届けた」という情報は、仮想通貨を持っている人の名簿として使われえます。ADA を Keystone で管理している方は、端末の安全性とは別に、これから届く連絡のほうに注意を向けることになります。
想定される偽の連絡と、変えなくてよい手順
Keystone 自身が、偽の連絡が電話・SMS・メール・郵便のいずれでも来うると注意を呼びかけています。名目として挙げられているのは、返金、交換用端末の送付、注文や住所の「修正」です。同社はこれらをすべて自社からのものではないとしています。
そのうえで、Keystone は次の点を守るよう求めています。
- リカバリーフレーズや秘密鍵を誰にも伝えない。Keystone がそれを求めることはない
- 自分で注文していない端末に、リカバリーフレーズを入力しない
- 心当たりのないメッセージのリンクを開かず、公式サイトは keyst.one を自分で入力して開く
- 不審に感じたら、公式窓口 support@keyst.one に問い合わせる
Cardano の利用者にとって特に気をつけたいのは、2 つ目の「交換用端末」です。送られてきた端末にリカバリーフレーズを入力すると、その端末を用意した側が同じ鍵を持つことになり、Eternl や Lace で見ている ADA もまとめて移されかねません。正規の端末が手元で正常に動いているなら、交換する理由はありません。
反対に、今回の件をきっかけに、普段の使い方を変える必要はありません。端末とウォレットの間を QR コードでつなぎ、送金先のアドレスを Keystone 本体の画面で確かめるという手順は、流出の前と同じです。焦って端末を初期化したり、別のウォレットへ急いで資産を移したりすると、その途中で偽のサイトや偽のアプリを踏む機会が増えます。
次に確かめること
次の確認点は、Keystone が予告している「詳細な報告」です。公式 X (@KeystoneWallet) と公式サイト keyst.one で公開されたら、影響を受けた人数、Shopify 経由の不正アクセスがどの経路で起きたか、日本の購入者が対象に含まれるかを確かめられます。それまでのあいだは、Keystone を名乗る連絡が届いても応じず、公式サイトを自分で開いて確かめる、という一点を守っておけば足ります。
ことば
- リカバリーフレーズ — ウォレットを復元するための 12〜24 個の単語の並び。これを知る人は、端末がなくても同じ資産を動かせます。今回の偽連絡が狙うのは、まさにこの単語の入力です。
- Shopify — 多くのブランドが自社のネットショップに使っている EC の基盤サービス。Keystone は不正アクセスの確認にあたり、Shopify の API 操作履歴を照合したと説明しています。
一次ソース / 関連リンク
- Keystone 公式 X の告知 (不正アクセスと流出範囲の公表)
https://x.com/KeystoneWallet/status/2114054080754770137
Keystone 公式サイト (対応資産に ADA を記載)（keyst.one）
guide.keyst.one
guide.keyst.one
