Keystone、WebAuthの侵害によりウォレット18,835個を廃棄へ―MiCA規制の期限も迫る

ハードウェアウォレットメーカーのKeystoneは2026年10月26日、深刻なサプライチェーンインシデントを確認し、未販売のハードウェアデバイス18,835個を物理的に廃棄する計画を発表しました。この極端な措置は、サードパーティ製データ監視ツールの権限昇格の欠陥により、同社の内部用WebAuthデバイス認証キーが侵害されたことを受けたものです。このインシデントでは25,964人分の顧客の個人情報も流出しており、欧州のプラットフォームが規制期限への対応に追われる中、物理的な保管（カストディ）慣行にあらためて厳しい目が向けられています。

Keystoneにおけるサプライチェーン侵害

今回のインシデントの根本原因は、Keystoneデバイスが信頼を確立する仕組みにあります。製造時、Keystoneは独自のWebAuth認証キーをデバイス内のセキュアチップに直接焼き込みます。このキーにより、Keystoneのソフトウェアは、コンパニオンアプリに接続する前に、その物理的なウォレットが正規品であり、改ざんされていないことを検証できます。

攻撃者がこの内部キーを入手したため、Keystoneは、新しく流通するデバイスが盗まれた認証署名を悪用する悪意あるクローンと区別できなくなる事態を保証できなくなりました。Keystoneは、侵害されたハードウェアが流通することを避けるため、出荷を即座に停止し、在庫にあった完成品18,835個を廃棄する選択をしました。

既存のハードウェアウォレット所有者に対して、Keystoneは、デバイス内の秘密鍵とシードフレーズは影響を受けていないと述べています。これは、秘密鍵がセキュアエレメント内で生成・保持されるためです。しかし、顧客の連絡先情報の流出は即座にフィッシングのリスクをもたらし、ルート認証の漏洩は、自己管理（セルフカストディ）ブランドにとって看過できないサプライチェーンの脆弱性となります。

カストディコミュニティが注目する理由

自己管理を行うコミュニティは、ハードウェアウォレットをウェブベースの攻撃に対する防衛のゴールドスタンダードとして扱う傾向があります。ハードウェアベンダーの製造上の信頼チェーンが、一般的なウェブ監視ツールを介して侵害されたという事実は、セキュリティ研究者やコミュニティメンバーの間で、バックエンドのセキュリティ衛生に関する議論を再燃させています。

多くのコミュニティメンバーは、製造用のルートキーが流出した以上、物理的な廃棄がKeystoneにとって唯一の信用できる運用上の選択肢であったと指摘しています。同時に、ハードウェア関連のフォーラムでの議論では、二次的な脅威も強調されています。顧客データベースの漏洩は歴史的に標的型フィッシング攻撃につながっており、攻撃者がウォレットのサポートチームになりすましてユーザーを騙し、シードフレーズを盗み出そうとする手口が警戒されています。

欧州のステーブルコイン規制に伴う期限

ハードウェアカストディが物理的なセキュリティ上の課題に直面する一方で、欧州の取引所やカストディプラットフォームは、コンプライアンス面で運用上の圧力にさらされています。欧州証券市場監督局（ESMA）が発行したガイダンスに基づき、欧州の暗号資産サービスプロバイダーは、規制に適合しないステーブルコインサービスを段階的に終了させるための3ヶ月の移行期間を過ごしています。

規制当局は、ステーブルコインの発行者が欧州銀行監督局の監督の下、監査済みの準備金を維持し、明示的な償還権を提供することを厳格に義務付けています。欧州連合全体で事業を行うプラットフォームは、段階的終了期間が終了する前に、これらの基準を満たさない取引ペアを上場廃止または制限しなければなりません。これにより、欧州のトレーダーは中央集権的な取引所におけるステーブルコインの保有状況を見直すことを余儀なくされています。

今後の注目点

もしKeystoneのハードウェアウォレットを所有している場合でも、リカバリーシードがオフラインかつ非公開に保たれていれば、オンチェーン上の資産は安全です。現時点で実務上の最大の懸念はソーシャルエンジニアリングです。Keystoneがメールやメッセージングアプリでリカバリーフレーズ、パスワード、または物理的なデバイスを要求することは決してありません。セカンダリ市場での購入を検討している場合は、新しいロットが出荷された後、必ず直接の認定チャネルのみを利用するようにしてください。

これら両方の出来事は、Web3における運用上の前提がいかに急速に変化し得るかを浮き彫りにしています。工場レベルで物理的なデバイスの認証情報を保護することであれ、地域ごとのステーブルコインの基準に合わせて取引所のポートフォリオを調整することであれ、年末に向けて運用上の誠実さがこれまで以上に重要になっています。