顧客の氏名や住所、注文情報などが漏えい
暗号資産（仮想通貨）の秘密鍵を専用端末で管理するハードウェアウォレットを手がけるキーストーン（Keystone）が、公式ウェブサイトへの不正アクセスにより、第三者が顧客情報を取得したと10月25日に発表した。同社は10月20日に不正アクセスを検知し、23日に情報漏えいを確認したとのことだ。
発表によるとキーストーンは、オンラインストアの運営に利用するECプラットフォーム「ショッピファイ（Shopify）」とのAPIの利用状況を確認し、顧客情報の漏えいを特定したとのこと。漏えいした情報には、氏名、連絡先、配送先住所、購入商品や価格などの注文内容が含まれるという。
一方、決済カード情報や銀行口座情報、暗号資産の送金に必要な秘密鍵、ウォレットの復元に使うリカバリーフレーズ、ウォレットのパスワードは漏えいしていないとのこと。キーストーンは不正アクセスを遮断し、脆弱性を修正したと説明している。また同社は、影響を受けた顧客へのメール通知を進めており、近日中に詳細な報告書を公開する予定だ。なお、被害を受けた顧客数や具体的な侵入経路は明らかにしていない。
ただし、秘密鍵などが漏えいしていなくても、購入履歴と氏名や住所が結び付くことで、暗号資産保有者を標的とした詐欺に悪用されるおそれがある。そのため、キーストーンは同社を装った電話やSMS、メール、郵便などへの注意を呼びかけた。同社は具体的に、返金や端末交換、注文情報の修正を持ちかける手口を挙げ、リカバリーフレーズや秘密鍵を第三者に伝えないよう求めている。
180日後のデータ削除方針をめぐり疑問
今回の情報漏えいを受け、キーストーンが公表していた顧客情報の削除方針にも疑問が生じている。同社は公式サイトで、注文から180日後にすべての配送情報を自動的に削除すると説明している。しかし、最後の注文から180日以上経過していたとする顧客からも、今回の情報漏えいに関連する報告が寄せられている。
一方、キーストーンのプライバシーポリシーでは、過去180日間に新たな注文をしていない顧客の注文情報をすべて削除すると記載している。2023年に公開したデータ保存方針でも、最後の注文から180日間新たな注文がなければ、顧客情報を自動削除すると説明していた。これらは、個々の注文から180日後に削除するという公式サイトの説明とは、削除期限の基準が異なる。
海外メディア「ザ・ブロック（The Block）」によると、2年以上前に商品を購入したユーザーが、情報漏えいに関するメール通知を受け取ったとXで報告した。また、別のユーザーは最後の注文から214日が経過していたと主張している。ただし、同メディアはこれらの主張を独自に検証できておらず、通知を受け取ったことだけでは、古い注文情報が実際に漏えいしたかどうかは判断できない。
さらに、Xユーザーの「OG DEGEN」氏は、モントリオール市警の電話番号を偽装した人物から詐欺電話を受けたと10月24日に報告した。同氏によると、電話の相手はキーストーンの利用について尋ね、2024年の注文時に登録した情報と一致する内容を把握していたという。同氏は顧客情報が漏えいした可能性を指摘し、調査を求めた。これに対し、キーストーンは緊急調査を開始したと返信した。
また、同社の公式ヘルプでは、180日以上経過した配送情報について、顧客が削除を申請できると説明されている。削除には約2〜3週間かかる場合があり、最終的な処理はショッピファイが担当するとのことだ。ただし、市区町村と国に関する記録は削除対象に含まれない。
現時点で、キーストーンがこれらの削除方針を実際にどのように運用していたかは明らかになっていない。また、顧客が報告した古い注文情報が今回の漏えいに含まれていたか、詐欺電話と不正アクセスに関連があるかについても確認されていない。
We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we’re sorry we didn’t keep them safe. Exposed: names, contact details, shipping addresses, and order details (items and prices). Not exposed: payment card or bank details, recovery phrases, private keys, or wallet passwords. We’ve blocked access, fixed the vulnerability, opened an investigation, and are emailing affected customers. Scammers may pose as Keystone by phone, text, email, or mail, offering refunds, replacement devices, or “fixes” for your order or address. None of it is from us. NEVER share your recovery phrase or private keys, and NEVER enter your recovery phrase into a device you didn’t order. We will never ask for them. Don’t click links in unexpected messages. Type https://t.co/7km8AZM288 yourself. A detailed report is coming soon. Until then, trust only our official channels. If anything feels off, email support@keyst.one. We’d rather hear from you than have you take a chance. Again, we’re truly sorry to everyone affected.
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
Thank you for bringing this to our attention. We have initiated an urgent investigation into this matter and will share our official findings as soon as possible. In the meantime, please stay vigilant against any suspicious phone calls, SMS, or emails. As a reminder, Keystone will NEVER ask for your seed phrase, private keys, or personal sensitive information under any circumstances. Never share your recovery phrase with anyone or enter it on any unverified website. Thank you again for your vigilance.
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
参考：キーストーン1・キーストーン2・キーストーン3
画像：PIXTA