ハードウェアウォレットの Keystone は日本時間 11 月 6 日 20 時 18 分、公式 X で、スマートフォンアプリ Nexus App の一部のサービスがサイバー攻撃を受け、一時的に正常に使えない利用者が出たと公表し、v1.3.7 への更新を求めました。これまでの調査では利用者の資産や個人情報に影響した証拠は見つかっていないとしていますが、攻撃の手口や対象のサービスは明らかにされていません。
Nexus App は Keystone 3 Pro と組み合わせて使う同社の公式アプリで、対応資産には ADA も含まれます。Android はすでに更新でき、iOS は審査待ちという違いもあります。Keystone で ADA を管理している方に向けて、公表された範囲と、スマートフォンの種類やつなぎ方ごとに確かめる点を整理します。
公表された範囲と、投稿に書かれていないこと
Keystone の説明は次のとおりです。攻撃を受けたのは Nexus App の一部のサービスで、その影響で一部の利用者が一定期間アプリを正常に使えませんでした。同社はすぐに対応してサーバーのセキュリティを強化し、v1.3.7 ではさらに強化を加えたとしています。
資産と個人情報については、原文で「no evidence that user assets or personal information were affected」と書かれています。この文の頭には「これまでの調査に基づくと」が付いているので、影響がなかったと確定した説明ではなく、調査の途中で示された見立てとして読むのが正確です。
攻撃の種類、狙われたサービス、発生した日時、使えなかった期間、影響を受けた人数は、投稿に書かれていません。秘密鍵にも触れていません。公式の FAQ によると、秘密鍵はハードウェアウォレットの中にとどまり、アプリとの接続に使う QR コードに入るのは公開鍵の情報と端末の識別情報だけです。ただ、これは製品の設計の説明であり、今回の調査結果として読むことはできません。
Android は配信済み、iOS は審査待ち
日本時間 11 月 7 日の午前 1 時台に両ストアの公開ページを確かめると、Keystone の説明と同じ状態でした。
- Google Play — バージョン 1.3.7、更新日は 11 月 6 日、開発元は Yanssie HK Limited。更新内容の欄は「Fix network issue」の一行です
- App Store — バージョン 1.3.6、更新日は 10 月 28 日、販売元は YANSSIE HK LIMITED
Keystone は、入れる前に開発元が「Yanssie HK Limited」であることを確かめるよう求め、それ以外は自社のものではないと書いています。更新の呼びかけは、偽アプリを入れさせる口実にも使えます。同社は 11 月 4 日の投稿でも、この種の知らせに便乗して Keystone を名乗る相手がいるおそれを指摘していました。ストアの中で開発元を確かめ、メッセージで届いたリンクやストアの外で配られる v1.3.7 は開かないでください。同社は、リカバリーフレーズや秘密鍵を求めることはないと繰り返し書いています。
iPhone で使っている方は、v1.3.7 が公開されるまで更新できません。そのあいだの署名について、Keystone は同社が対応する他社のウォレットを使えると案内しています。公式の対応一覧で ADA の欄に並ぶのは Eternl・Lace・VESPR・Begin・Gero・Typhon・Medusa です。投稿は資産の移動を求めていません。
Eternl や Lace でつないでいる方
今回の投稿が更新を求めているのは Nexus App で、ファームウェアや他社のウォレットの更新には触れていません。Keystone の Eternl と Lace の接続ガイドにも Nexus App は出てこず、必要なものとして挙がっているのは Keystone 3 Pro とそれぞれのウォレットです。Nexus App を入れていない方に、この投稿を受けて新しく増える作業はありません。
iPhone の方が審査待ちのあいだに Eternl などへ新しくつなぐ場合は、公式ガイドの手順に沿って、ウォレットに出たアドレスと Keystone 本体の画面のアドレスが一致するかを確かめます。Keystone 本体以外から来た QR コードは読み取らないよう、ガイドは注意しています。10 月 20 日以降に届いた端末については、10 月 31 日の記事で整理したとおり、つなぐ前にサポートへの連絡が先です。
10 月の件との関係は示されていない
Keystone は 10 月から、別々の面で問題を公表してきました。
- 10 月 25 日 — 公式サイトへの不正アクセスと、購入者の配送情報の流出
- 10 月 30 日 — 端末が本物かを確かめる Web 認証の鍵が攻撃者に渡ったという説明と、3 Pro の在庫の廃棄
- 11 月 6 日 — 今回の Nexus App のサービスへの攻撃
今回の投稿は 10 月の件に触れておらず、同じ攻撃者なのか、同じ経路なのかは判断できません。配送情報の件は別の手続きが用意されていて、公式サイトで注文した方は、11 月 5 日に公開された注文の確認ページにメールアドレスを入れて調べられます。同社によると、このページが求めるのはメールアドレスだけです。
セルフカストディ (自分で鍵を持つ資産管理) の見方で言えば、今回目立つのは iOS の利用者への案内です。公式アプリの更新を待つあいだも、同じ端末を他社のウォレットにつないで署名を続けられます。鍵が端末にあり、ウォレットのアプリを選べるつくりは、アプリやその運営元のサービスが不調なときの予備の経路になります。Cardano で Keystone を使う方は、普段使わないウォレットでも、接続の手順だけは知っておくと慌てずに済みます。
App Store のバージョン欄と、公式 X の続報
iPhone で Nexus App を使う方がまず開くのは、App Store の Keystone Nexus のページです。バージョンの欄が 1.3.7 に変わり、販売元が YANSSIE HK LIMITED のままであれば、更新できるようになった合図です。
Keystone は続報を公式 X (@KeystoneWallet) で伝えるとしています。そこで確かめたいのは、調査の結論と、狙われたサービスの中身です。Google Play の更新内容は「Fix network issue」、投稿では「さらなるセキュリティ強化」と書かれており、v1.3.7 で実際に何が変わったのかも、まだ説明されていません。
ことば
- Nexus App — Keystone 3 Pro の公式アプリで、送受信やスワップに使います。iOS 版の更新が審査待ちのあいだ、同社は他社のウォレットでの署名を案内しています。
- 開発元の表示 — ストアでアプリの提供者として出る名前です。今回は偽アプリと見分けるための確認点として、Keystone が Yanssie HK Limited の名を挙げました。
- 他社のウォレット — 端末メーカー以外が作るウォレットのアプリです。Cardano では Eternl や Lace などが該当し、QR コードで Keystone とつないで署名に使えます。
一次ソース / 関連リンク
- Keystone 公式 X の告知 (Nexus App への攻撃と v1.3.7 への更新)
https://x.com/KeystoneWallet/status/2118664292736323953
Google Play: Keystone Nexus（play.google.com）
App Store: Keystone Nexus（App Store）
Keystone 公式: 対応ウォレットと資産の一覧（keyst.one）
guide.keyst.one
guide.keyst.one
guide.keyst.one
Keystone 公式: 注文の確認ページ（keyst.one）
- Keystone 公式 X: 注文の確認ページの公開 (11 月 5 日)
https://x.com/KeystoneWallet/status/2118324299249651735 - Keystone 公式 X: 個人情報の削除の運用と、なりすましへの注意 (11 月 4 日)
https://x.com/KeystoneWallet/status/2117996631308288113
- SIPO.TOKYO: Keystone 公式サイトに不正アクセス、購入者の配送情報が流出 (10 月 26 日)
https://sipo.tokyo/signal-20261026-df62b169/
