デバイスキー盗難で Keystone、約19,000個のウォレットを廃棄へ

まだ発送されていない約19,000台のハードウェアウォレットが、デバイスの真正性を検証するために使用されるキーを攻撃者が取得したことを受け、Keystone によって破棄されることになったと同社が発表した。

土曜日、Keystone は X 上で、顧客の出荷データの潜在的な漏えいを認める投稿を行った。漏えい対象は「氏名、連絡先、配送先住所、注文詳細（商品と価格）」に及ぶ。

この認める投稿は、顧客が Keystone の注文データを悪用した「ソーシャルエンジニアリング」電話を指摘してから約18時間後に行われた。

支払い詳細とウォレットキーは侵害されていないものの、Keystone は、自社従業員を装い「返金、代替デバイス、注文や住所の『修正』」を持ちかける詐欺師に注意するようユーザーに警告した。

皆さんにおわびを申し上げます。

10月20日、当社の公式ウェブサイトへの不正アクセスを検出しました。Shopify での API アクティビティを確認した後、10月23日に第三者が顧客の出荷情報を入手したことを確認しました。皆さんは当社を信頼してそれらの情報を預けてくださいました。申し訳ありません。私たちは…

— Keystone Hardware Wallet (@KeystoneWallet) 2026年10月24日

Keystone は以前、「注文から180日後には出荷データを完全に削除する」と約束していた。しかし、最初に漏えいの可能性を報告したユーザーは、自分のデバイスは2024年に購入したと述べている。

同社はその後、影響を受けた記録を約26,000件に修正した。対象は公式ウェブサイトでの Shopify 注文に限定され、さらに注文内容の一部を含む未完了の購入記録が13,000件追加された。

Keystone によると、さらに25,000件の記録は既に「データ保持ポリシーに従って…恒久的に消去済み」だった。それでも同社は、自動削除システムが「確実に動作せず…一部の個人情報が許可された期間を超えて保持された」ことを認めた。

さらに懸念すべきことに、今回の更新では「攻撃者はデバイスが本物かどうかを検証するために使用する WebAuth キーも入手した」と明らかにされた。

将来の Keystone ウォレットは新しいキーを使用する。切り替えが完了するまで出荷は停止されており、現在未発送の在庫のうち約19,000台が破棄される予定だ。

Foundation Passport、不手際なデータ移行で被害

月曜早朝から、X 上では Foundation Passport ユーザーを標的にしたフィッシングメールがあったとの報告が上がった。スクリーンショットには、最近の Ledger デバイスの侵害に明らかに触発された、ディスプレイモジュールに関する恐怖をあおる手口が映っていた。

Foundation は、「スパム」メールが自社の公式ドメインから送信されたことを確認し、原因を「Cloudflare 上の1つ以上の侵害された API キー」に特定した。

Foundation はまた、ユーザーデータは60日後に「自動的に」削除されると顧客に保証していた。

同社の更新情報によると、そのシステムを通じて20,000件を超えるフィッシング試行が送信されたが、個人データが流出したユーザー数については「まだ調査中」だという。

60日間の削除ポリシーについて、Foundation は以前のプロバイダーである WooCommerce が注文データを実際に消去したと述べた。しかし「過去のデータベース移行時に」新しいテーブルだけが秘匿化され、「古いコピーにはまだ個人情報が含まれていた」。さらに、Shopify 経由の新しい注文「も流出した可能性がある」と付け加えた。

その他のセキュリティ問題が注目を集める

ハードウェアウォレットの所有者は、控えめに言っても、最近厳しい状況に直面している。

コールドストレージは暗号資産を保有する最も安全な方法と広くみなされているが、一連のセキュリティ事件により、多大な損失とデータ漏えいが発生し、ユーザーは長期間にわたって警戒し続けるかもしれない。

Ledger のスパイウェア事件と Coldcard のシード生成の欠陥を合わせると、2億ドル以上の損害が発生した。

このアカウントからフィッシングリンクを含む投稿がどのように公開されたのか調査しています。その投稿はすでに削除されています。

そのリンクにはアクセスせず、操作もしないでください。COLDCARD の唯一の公式ウェブサイトは https://t.co/veUyheguQW です。

このアカウントは、厳重に制限されたオフライン2FAを使用していました… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) 2026年10月11日

さらに最近では、常習的に問題を起こしている Ledger、その最大のライバルである Trezor、そして SafePal からのデータ漏えいも報告されている。

ユーザーに大きな被害が出た直後、Coldcard の X アカウントが今月初めに乗っ取られ、67,000人のフォロワーにフィッシング詐欺が送られた。

データ漏えいそのものではないものの、この事件は、Coldcard が自社のクリアケースのウォレットに関する大胆なツイートで Ledger のネガティブな評判を利用しようとしたわずか2日後に発生したため、特に屈辱的なものとなった。