ハードウェアウォレットの Keystone は、日本時間 10 月 30 日 0 時 23 分に公式 X へ利用者向けの Q&A を投稿し、端末が本物かどうかを確かめるための Web 認証の鍵が攻撃者の手に渡ったと説明しました。これを受けて、手元にある Keystone 3 Pro の在庫はすべて廃棄に回し、いまから受ける注文は新しい鍵で作る次のロット (到着まで 4〜6 週間) に切り替えるとしています。
10 月 25 日に公表された不正アクセスでは、流出したのは氏名や住所などの配送情報で、端末の中の鍵には触れないという説明でした。今回の Q&A で、漏れたものの範囲が「誰が買ったか」から「その端末が本物か」を見分ける仕組みにまで広がったことになります。セルフカストディ (自分で鍵を持つ資産管理) は、端末そのものを信じられることが出発点です。Keystone で ADA を管理している方に向けて、何が漏れて何が守られているのか、そして端末が届いた時期ごとに何をすればよいのかを、Keystone 自身の説明に沿って整理します。
本物かを確かめる鍵と、ファームウェアの鍵は別もの
Keystone によると、攻撃者の手に渡ったのは Web 認証の鍵です。Keystone の端末は、公式サイトの検証ページで「自社が作った本物か」を確かめられるようになっており、その照合に使われているのがこの鍵です。鍵が外にあると、攻撃者は本物の鍵を入れた偽の端末を作れるようになり、検証ページを通しても本物に見えてしまう、と同社は説明しています。
一方で、ファームウェア (端末の中で動くソフトウェア) に署名する鍵は、漏れた Web 認証の鍵とは完全に別だとしています。Keystone の端末は同社が署名したファームウェアしか入れないため、ファームウェアの更新はこれまでどおり安全で、更新して使い続けてよいという立場です。
リカバリーフレーズや秘密鍵については、Keystone はそれを利用者に求めることはないとあらためて書いています。偽の端末が出回りうる状況では、注文していない端末にリカバリーフレーズを入れないことが、これまで以上に重い意味を持ちます。中身を用意した側が作った端末に復元用の単語を入れれば、その単語は相手にも知られうるからです。
端末が届いた時期で変わる確認の手順
Keystone の Q&A は、不正アクセスを検知した 10 月 20 日を境目にしています。利用者ごとの手順は次のとおりです。
- 10 月 20 日より前に受け取った端末 — 公式サイトの検証ページで確かめたうえで、そのまま使い続けてよいとしています。検証ページは古い鍵のまま動いており、未開封の端末もここで確かめられます。攻撃者が鍵を持っていても、すでに届いていた端末には影響しないという説明です
- 10 月 20 日以降に受け取った端末 — 本物の鍵を入れた偽物の可能性を否定できないため、すぐにサポート窓口 support@keyst.one へ連絡するよう求めています
- 配送中の注文 — 届いたら受け取りを拒否し、support@keyst.one へメールするよう案内しています
- これからの注文 — 新しい認証の鍵で作る次のロットの予約注文になり、到着は 4〜6 週間後の見込みです
配送情報の流出については、2024 年から 2026 年に注文した人の情報が含まれている可能性があるとし、影響を受けたかどうかを自分で確かめられるページを用意している段階だとしています。
10 月 30 日の続報で示された対応
日本時間 10 月 30 日 22 時 5 分の続報では、約束していた対応の進み具合が示されました。配送情報の保存期間は 180 日から 90 日に縮め、注文が届いた後にサポートへ連絡すれば、その時点で情報を消すとしています。影響を受けた利用者には support@keyst.one からメールを送り、すべての出荷を止めたうえで、Amazon の倉庫を含む利用中のすべての倉庫で、該当する端末の隔離を始めたと書いています。
あわせて、なりすましへの注意として三つの点を挙げています。この件に関するメールは support@keyst.one からしか送らないこと、シードフレーズをメール・DM・電話のどれでも求めないこと、急がせる連絡が来たら手を止めて Keystone に確かめること、です。返金や交換端末の送付、住所の「修正」をうたう連絡はすべて Keystone からのものではない、という注意は 10 月 29 日の Q&A にも書かれています。
Lace や VESPR で Keystone を使っている方が見ること
Cardano では、Keystone 3 Pro を Lace・VESPR・Eternl などのウォレットと QR コードでつないで使う方法が広がってきました。SIPO でも、Lace の Keystone 対応や、VESPR のブラウザ版の対応を取り上げています。
こうしたつなぎ方そのものは、今回の件で変わりません。10 月 20 日より前に届いた端末を検証ページで確かめ、送金先のアドレスを Keystone 本体の画面で確かめるという手順は、これまでと同じです。気をつけたいのは、10 月 20 日以降に届いた端末を新しくウォレットにつなぐ場合です。その端末はまずサポートへの連絡が先で、Lace や VESPR に登録するのはその後になります。
配送情報の流出については、10 月 26 日の記事で、流出の範囲と偽の連絡への備えを整理しました。今回の続報は、その上に「本物の見分け方そのもの」が揺らいだという話が重なったものです。
次に見るもの
次の確認点は、Keystone が用意している「影響を受けたかどうかを確かめるページ」です。公開されたら公式 X (@KeystoneWallet) で知らせるとしており、2024〜2026 年に注文した方は、そこで自分の注文が含まれるかを確かめられます。10 月 30 日の続報は「数日のうちに次の手順を伝える」と結ばれているので、新しい鍵で作る端末の出荷がいつ始まるかも、同じ公式 X で追っていくことになります。
ことば
- Web 認証の鍵 — Keystone が端末を「自社製の本物」と確かめるために使う鍵です。今回はこの鍵が漏れたため、本物そっくりの偽物を作れる状態になり、在庫の廃棄と出荷停止につながりました。
- ファームウェアの署名鍵 — 端末に入れるソフトウェアが正規のものかを保証する鍵です。Keystone は今回漏れた鍵とは別だとしており、ファームウェアの更新は安全に続けられるとしています。
一次ソース / 関連リンク
- Keystone 公式 X の Q&A (認証の鍵の流出と、時期ごとの対応)
https://x.com/KeystoneWallet/status/2115826835900792966 - Keystone 公式 X の続報 (出荷停止・倉庫での隔離・保存期間の短縮)
https://x.com/KeystoneWallet/status/2116154552609382651 - Keystone 公式 X の最初の公表 (不正アクセスと配送情報の流出)
https://x.com/KeystoneWallet/status/2114054080754770137
Keystone 公式サイト（keyst.one）
