このキーは製造段階でウォレットに記録され、削除または上書きすることはできません。同社は、このキーがシードフレーズの生成、プライベートキーの作成、またはトランザクションの署名に使用されないことを保証しています。
しかし、攻撃者がキーを取得すると、Keystoneの認証を通過する偽造デバイスを作成できます。このような偽造デバイスが顧客の手に渡り、オリジナルのKeystone製品であると誤認された場合、これらの顧客は暗号資産を失うことになります。
Keystoneは古いキーの使用を完全に停止します。すべての新規デバイスには新しい認証キーが搭載されます。同社は、脆弱なキーを含む在庫の18,835台のハードウェアウォレットを破棄し、販売しないと約束しました。Keystoneは公式サイトを通じて注文された未支払いデバイスの出荷を一時停止し、新しいキーを搭載したデバイスの生産が再開されるまで、販売を予約受付モードに切り替えました。
10月20日、Keystoneの監視システムはサイト上で異常な活動を検出しました。不明な人物がデータ監視ツールの脆弱性を悪用しました。この事件により、2024年から2026年までShopifyプラットフォームで注文をした25,964人の顧客の個人情報が漏洩しました。名前、連絡先情報、配送先、注文情報が公開されました。幸いにも、攻撃者はユーザーのシードフレーズ、秘密鍵、支払い情報にアクセスすることはできませんでした。
Keystoneの内部方針によると、顧客データは180日後に削除される必要がありますが、企業の担当者は、自動化された一括削除ツールが不適切に動作したと説明しています。彼らは、侵害されたデータが適切な時期に削除されなかったことを認めており、ハッカーは名前、連絡先情報、配送先住所が含まれる12,873件の未完了注文レコードにアクセスしました。
10月20日までに配送されたデバイスについては、製造元が本物であることを確認した場合、使用可能とみなすとしています。10月20日以降に古いキーのウォレットを受け取った購入者は、追加確認のためにカスタマーサポートにお問い合わせください。デバイスが認証を通過した場合でも、偽物である可能性を完全に排除することはできません。
同社は、ウォレット所有者にデバイスの返却を要求しないことを発表しました。ウォレットの交換のために送信を求める人物はすべて詐欺師とされます。
以前、ハードウェア暗号資産ウォレットの大手メーカーであるLedgerは、ハッカー集団が意図的にデバイスを大量購入していたことを認めた。不正行為者はウォレットを分解し、シードフレーズを盗み取るための隠蔽モジュールを設置した。これらのスパイモジュールが搭載されたウォレットは、ロシアのマーケットプレイスであるOzonにも登場した。