本記事はアフィリエイト広告（PR）を含みます（広告ポリシー・評価の方法）
この記事の結論（2026年11月4日 日本時間 時点）
- ハードウェアウォレットのKeystoneは、10月20日に公式サイトへの不正アクセスを検知し、購入者25,964件の氏名・連絡先・住所・注文内容と、端末が正規品かを確かめるための「認証鍵」が盗まれたと発表しました。シードフレーズ（復元用の単語）や秘密鍵は含まれていません（Keystone公式Xの発表（10月26日23時2分）、2026年10月27日確認）。
- 10月20日より前に届いた端末は、公式の認証が通れば正規品として使えます。ファームウェアの更新も安全だとKeystoneは説明しています。10月20日より後に受け取った端末は、認証が通っても偽物の可能性を否定できないため、support@keyst.oneに連絡し、確認を受けるまで使わないでください。配送中の荷物は受け取りを断り、同じアドレスにメールします（Keystone公式Xのよくある質問（10月30日0時23分）、2026年11月4日確認）。
- Keystoneは「この件だけを理由に資産を移す必要はない」としています。「資産の移行」「ウォレットの確認」「回収（リコール）」をうたう電話・メール・郵便はすべて詐欺として扱い、シードフレーズは誰にも、どの画面にも入力しないでください。
ハードウェアウォレットの確認が終わるまでの置き場所に
端末の確認を待つ間や、すぐに使わない分は、金融庁に登録された国内の暗号資産交換業者の口座に置く方法もあります。OKJ（オーケーコイン・ジャパン）は、金融庁の登録業者の一覧に「関東財務局長 第00020号」として載っている国内の業者です（金融庁「暗号資産交換業者登録一覧」（令和8年9月30日現在）、2026年10月27日取得）。
当サイトの紹介リンクからOKJに登録し、メールアドレスの登録から90日以内に2万円以上の取引（約定）をすると、2,000円分のビットコインがもらえます（OKJ公式、2026年10月時点）。
※広告（PR）：上のボタンは当サイトの紹介リンクです。口座開設の手順はOKJの口座開設・始め方で画像つきで解説しています。取引所に置く場合とハードウェアウォレットに置く場合の違いは仮想通貨の保管場所の比較で説明しています。
結論：Keystoneを持っている人が今やることは？
Keystoneを持っている人が今やることは、「端末を受け取った日」で分かれます。Keystoneは、不正アクセスを見つけた10月20日を基準にして、端末ごとの扱いを発表しました（Keystone公式Xの発表、2026年10月27日確認）。
| あなたの状況 | Keystoneの案内 | 今やること |
|---|---|---|
| 10月20日より前に端末が届いた | 認証の仕組みは影響を受けていない。認証が通れば正規品として通常どおり使える | 公式の端末認証ページで認証を確かめる。通ればそのまま使ってよい |
| 10月20日より後に端末を受け取った | 認証が通っても偽物の可能性を完全には否定できない。サポートに追加の確認を依頼し、確認が取れてから使う | 電源を入れても、シードフレーズを作らない・入力しない。サポートに連絡して確認を待つ |
| 公式サイトで注文したが、まだ届いていない | 公式サイトの未発送の注文は発送を停止。配送中の荷物は受け取りを断り、support@keyst.oneへ連絡するよう案内（10月30日）。今の注文は新しい鍵の端末の予約販売で、届くのは4〜6週間後の見込み | 配送中なら受け取りを断ってメールする。「先に送ります」「住所を確認します」という公式以外からの連絡には応じない |
| 2024〜2026年に公式サイトで買った（端末は前から使っている） | 氏名・連絡先・住所・注文内容が盗まれた可能性がある。該当者には個別にメールで知らせる | Keystoneを名乗る電話・SMS・メール・郵便を疑う。リンクは開かず、公式サイトのアドレスは自分で打ち込む |
| 公式サイトで支払いをせずに途中でやめた | 未払いの注文の記録12,873件（氏名・連絡先・配送先）も対応の対象。メールでリスクを知らせる | 上と同じく、Keystoneを名乗る連絡を疑う |
| Amazonなど公式サイト以外で買った | Amazonなど他の販売経路の購入情報は影響を受けていない | 個人情報の流出は対象外。ただし端末は、受け取った日で上の1行目か2行目に当てはめる |
出典：Keystone公式X「Statement Regarding the Security Incident on Our Official Website and Customer Guidance」（2026年10月26日23時2分 日本時間）を Coin Map編集部が日本語で整理。2026年10月27日確認。
どの状況でも共通するのは、シードフレーズを入力させる連絡は、相手が誰でも詐欺だということです。Keystoneは最初の発表で、シードフレーズや秘密鍵を求めることは決してないと書いています（Keystone公式Xの最初の発表（10月25日2時59分）、2026年10月27日確認）。
20日当日に届いた端末の扱いは、公式発表に書かれていません。当日に届いた端末も、念のため「20日より後に受け取った端末」と同じように確認を受けるのが安全です。
Keystoneで何が起きた？10月20日の不正アクセスから発表までの時系列
Keystoneの公式サイトが使っていた外部のデータ監視ツールの脆弱性を突かれ、攻撃者に権限を広げられたことが原因です。攻撃者はこの権限で、顧客情報の一部と、端末が正規品かを確かめる鍵を手に入れました（Keystone公式Xの発表、2026年10月27日確認）。
| 日時（日本時間） | 出来事 | 出典 |
|---|---|---|
| 10月20日 | Keystoneの監視の仕組みが公式サイトへの不審なアクセスを検知。同じ日に危険な機能を止め、不正な入口をふさいだ | 公式X（10月26日の発表） |
| 10月23日 | Shopify（公式サイトの通販の仕組み）とAPIの記録を照合し、第三者が配送情報を取得したことを確定 | 公式X（最初の発表） |
| 10月24日 | 保存期間を過ぎた購入者の個人情報と、30日を超えた未払いの注文の記録の消去を、Shopifyに依頼 | 公式X（10月26日の発表） |
| 10月25日2時59分 | 最初の発表。氏名・連絡先・住所・注文内容（品目と価格）が漏れたと謝罪。件数は未公表 | 公式X（最初の発表） |
| 10月26日23時2分 | 詳しい発表。件数（25,964件と12,873件）と、端末の認証鍵も盗まれていたことを公表。在庫18,835台の廃棄と発送停止を発表 | 公式X（10月26日の発表） |
| 10月30日0時23分 | よくある質問を公表。配送中の荷物は受け取りを断る、新しい注文は4〜6週間後に届く予約販売、ファームウェアの更新は安全（漏れたのはWeb認証の鍵で、ファームウェアの署名の鍵とは別）、影響を確かめられるページを準備中 | Keystone公式Xのよくある質問（10月30日0時23分） |
| 10月30日22時5分 | 配送情報の保存期間を180日から90日に短縮（実施済み）。該当者全員にsupport@keyst.oneからメールを送信。Amazonを含むすべての倉庫で、影響のある端末の隔離を始めた。影響を確かめるページは、寄せられた意見をもとに、より安全にする作業を進めている | Keystone公式Xの続報（10月30日22時5分） |
| 11月3日（予定） | Shopifyでの個人情報の消去が完了する見込み（Shopifyの決まりで、依頼から10日の待ち期間がある）。2026年11月4日の確認では、完了の発表は公式Xに出ていない | 公式X（10月26日の発表） |
投稿の時刻は、X公式の埋め込み用データ（投稿日時はUTC）を日本時間に直したもの。10月20日・23日・24日は公式発表に日付だけが書かれている。2026年10月27日確認。
最初の発表（10月25日）の時点では、漏れたのは配送情報だけという説明でした。翌日（10月26日）の詳しい発表で、端末の認証鍵も盗まれていたことが初めて明らかになりました。
盗まれた情報は何？盗まれていないものは？
盗まれたのは、公式サイトで買った人の個人情報と、端末の認証鍵の2種類です。ウォレットの中身を動かすための情報は含まれていません。
| 区分 | 件数・内容 |
|---|---|
| 購入者の記録（個人情報あり） | 25,964件。2024〜2026年の購入。氏名・連絡先・住所・注文内容 |
| 購入者の記録（個人情報は消去済み） | 25,119件。不正アクセスの前に個人情報が消去され、注文情報は匿名化済み |
| 未払いの注文の記録 | 12,873件。支払いを終えずにやめた注文で入力された氏名・連絡先・配送先 |
| 端末の認証鍵 | 端末が正規品かを確かめる鍵（WebAuthの鍵）。製造時に端末に書き込まれ、消すことも書き換えることもできない |
| 盗まれていないもの | シードフレーズ、秘密鍵、ウォレットのパスワード、銀行・カードの支払い情報、身分証の番号、Amazonなど他の販売経路の購入情報 |
出典：Keystone公式Xの発表「2. Scope of Impact」（2026年10月26日）。2026年10月27日確認。
個人情報が残っていた理由について、Keystoneは自社の落ち度を認めています。保存期間（180日）を過ぎた記録を一括で消す自動ツールが正しく動かず、失敗に気づけなかったと説明しました。保存期間を90日に縮める対応は、10月30日に実施済みと発表されました。注文が届いたあとにサポートへ頼めば、配送情報をすぐ消すとしています（Keystone公式Xの続報（10月30日22時5分）、2026年11月4日確認）。
認証鍵が盗まれると何が危ない？在庫18,835台を廃棄した理由
認証鍵が盗まれると、攻撃者は「公式の認証を通ってしまう偽物の端末」を作れるおそれがあります。Keystoneは、そうした偽物が正規品として売られたり届けられたりし、利用者が気づかずに使えば資産を盗まれる可能性があると説明しています（Keystone公式Xの発表「(3) Device authentication key」、2026年10月27日確認）。
この鍵は、シードフレーズを作ることにも、秘密鍵を作ることにも、取引の署名にも使われません。本物の端末に入っている資産が、この鍵の流出だけで抜かれるわけではありません。危ないのは「本物そっくりの偽物を、本物だと信じて使ってしまうこと」です。
Keystoneが発表した対応は次の3つです。
- 古い鍵を使った生産をやめ、新しく作る端末はすべて新しい認証鍵にする
- 古い鍵が入った在庫18,835台を廃棄し、販売も発送もしない
- 公式サイトの未発送の注文はすべて発送を止め、新しい鍵の端末ができるまで予約販売に切り替える
Keystoneは10月30日、Amazonを含む、使っているすべての倉庫で影響のある端末の隔離を始め、発送をすべて止めたと発表しました（Keystone公式Xの続報（10月30日22時5分）、2026年11月4日確認）。今の公式サイトの注文は、新しい認証鍵で作る端末の予約販売で、届くのは4〜6週間後の見込みです（Keystone公式Xのよくある質問（10月30日0時23分））。これから買う人は、届いた日が10月20日より後なら、どこで買っても「20日より後に受け取った端末」として確認を受けてください。
自分の端末は大丈夫？受け取った日で確かめる方法
自分の端末が大丈夫かどうかは、端末を受け取った日が10月20日より前か後かで決まります。購入した日や注文した日ではなく、手元に届いた日で判断します。
10月20日より前に届いた端末
Keystoneは、10月20日より前に作られて届いた端末は認証の仕組みが影響を受けておらず、認証が通れば正規品として通常どおり使えるとしています。念のため、公式の端末認証ページ（Keystone「Device Verification」、2026年10月27日確認）で認証を確かめておくと安心です。
認証ページの手順は3つです。
- 端末に表示されるQRコードを読み取る
- 表示された確認コードを入力する
- 結果を確かめる
認証ページのよくある質問には、認証に失敗したら端末の使用をすぐやめ、特にシードフレーズを入力せず、結果の画面を保存してサポートに連絡するよう書かれています（同ページ、2026年10月27日確認）。
10月20日より後に受け取った端末
10月20日より後に受け取った古い鍵の端末は、認証が通っても使い始めないでください。Keystoneは、この場合は偽物の可能性を完全には否定できないとして、端末認証ページの案内に従ってサポートに追加の確認を依頼し、正規品と確認できてから使うよう案内しています。
古い鍵の端末か新しい鍵の端末かを、利用者が自分で見分ける方法は公式発表に書かれていません。Keystoneは10月30日のよくある質問で、鍵が漏れたため、攻撃者が本物の鍵を入れた偽の端末を作って本物に見せかけられるおそれがあると説明し、10月20日以降に受け取った人はすぐsupport@keyst.oneに連絡するよう求めています。配送中の荷物は受け取りを断り、同じアドレスにメールするよう案内しています（Keystone公式Xのよくある質問（10月30日0時23分）、2026年11月4日確認）。10月20日より後に受け取った端末は、自分で見分けようとせず、サポートに確認してください。
まだ電源を入れていない、またはシードフレーズを作っていない端末なら、そのまま確認を待ちます。すでにシードフレーズを作って資産を入れてしまった場合の扱いは、公式発表に書かれていません。受け取った日・購入先・資産を入れたかどうかを添えてサポートに伝え、指示を受けてください。
サポートへの連絡で気をつけること
- 連絡先は、公式発表に書かれた公式サポートのメールアドレス（support@keyst.one）か、公式サイト（keyst.one）から。届いたメールの返信ボタンやリンクは使わない
- 公式サイトのアドレスは、ブラウザに自分で打ち込む（公式が「見慣れないリンクを押さず、ドメインを手で入力して」と案内）
- サポートに対しても、シードフレーズ・秘密鍵・パスワードは伝えない（Keystoneは求めないと明言）
出典：Keystone公式Xの発表「5. Official Reporting Channels」、最初の発表。2026年10月27日確認。
盗まれた住所や連絡先で起きうる詐欺は？見分け方
住所・電話番号・メールアドレスと「Keystoneを買った」という事実が一緒に漏れたため、Keystoneを名乗る詐欺が届きやすくなります。Keystoneは最初の発表で、電話・SMS・メール・郵便で返金・交換品・注文や住所の「修正」をうたう連絡はすべてKeystoneからではないと警告しました（Keystone公式Xの最初の発表、2026年10月27日確認）。
| こんな連絡が来たら | 判断 | 根拠 |
|---|---|---|
| 「回収（リコール）します。端末を送り返してください」 | 詐欺 | Keystoneは端末の返送を求めないと明言 |
| 「交換品を送ります」「新しい端末が届いたので設定して」 | 詐欺として扱う | 交換品をうたう連絡はKeystoneからではない。注文していない端末にシードフレーズを入力しない |
| 「資産を移行してください」「ウォレットを確認してください」「調査に協力を」 | 詐欺として扱う | 公式が、この3つをうたう電話・メッセージを信じないよう呼びかけ |
| 「返金します」「注文・住所に問題があります」 | 詐欺として扱う | 返金・注文や住所の修正をうたう連絡はKeystoneからではない |
| 郵便の手紙で「QRコードを読み取って手続きを」 | 詐欺として扱う | Keystoneは郵便での連絡も詐欺の手口に挙げている。Ledgerでも同じ手口が確認されている（下記） |
| Keystoneからの「影響を受けた方へ」というメール | 本物の可能性もある。ただしリンクは押さない | Keystoneは該当者に個別にメールで知らせると発表。内容は公式サイトを自分で開いて確かめる |
出典：Keystone公式Xの最初の発表、10月26日の発表。2026年10月27日確認。
郵便を使う手口は、ほかのハードウェアウォレットでも起きています。Ledgerは公式の注意喚起ページで、利用者のもとに郵便の手紙が届き、QRコードやWebサイトに誘導して最後に24単語の入力を求める手口を挙げています（Ledger公式「Phishing campaigns status」、2026年10月27日確認）。どんな形で届いても、紙やWebや端末にシードフレーズを入力させる時点で詐欺です。
住所が漏れた人が気をつけたいこと
住所と「ハードウェアウォレットを買った」という事実が一緒に漏れた人は、ネットの詐欺だけでなく、身の回りの安全にも気を配ってください。次の点は今日からできます。
- SNSで保有額や「ハードウェアウォレットを持っている」ことを話さない
- Keystoneを名乗る訪問・荷物の受け取り確認の電話に、その場で応じない
- 不審な電話・メール・郵便は、Keystoneの公式サポートに報告する。被害にあったときや身の危険を感じたときは、警察に相談する（警察庁「サイバー事案に関する相談窓口」、2026年10月27日確認）
暗号資産のサービスを名乗る詐欺の手口と、やられた後の手順は、MetaMaskを名乗る詐欺の見分け方でもまとめています。
資産を移すべき？Keystoneの答えと、それでも分けたい人の移し方
Keystoneは「この件だけを理由に資産を移す必要はない」としています。盗まれたのは個人情報と認証鍵で、シードフレーズや秘密鍵は含まれていないためです（Keystone公式Xの発表「(1) Your Assets and Recovery Phrase」、2026年10月27日確認）。10月20日より前に届き、認証が通る端末なら、そのまま使ってかまいません。
一方で、10月20日より後に受け取った端末でシードフレーズを作ってしまった人や、「1台に集めるのが不安になった」という人もいるはずです。その場合に資産を別の場所に分けるときは、次の順番を守ります。
- 移す先は自分で用意する。「移行先を用意しました」という連絡には乗らない（公式が「資産の移行」をうたう連絡に注意するよう警告）
- 新しい端末は、メーカーの公式ストアか、公式サイトに載っている正規の販売店で買う。フリマアプリや出品者のわからない中古は使わない
- 新しい端末で、新しいシードフレーズを作る。今のシードフレーズを新しい端末に入力して使い回さない
- まず少額を送って、新しいウォレットに届くことを確かめる。ネットワーク（例：ビットコインならBitcoin）が送り元と送り先で同じかを、送金画面で確認する
- 残りを送る。送ったあと、新しいシードフレーズを紙や金属に書いて、端末と別の場所に保管する
この手順のどこにも、シードフレーズを他人やWebサイトに伝える場面はありません。途中で「入力してください」と言われたら、そこで止めてください。
別の保管方法の選択肢
| 置き場所 | 向いている人 | 気をつけること |
|---|---|---|
| 今のKeystone（10月20日より前に届き、認証が通るもの） | 今の端末を使い続けたい人 | Keystoneを名乗る連絡を疑う。シードフレーズを入力させる連絡は詐欺 |
| 別のハードウェアウォレット | 1台に集めず分けたい人 | 公式ストアか正規の販売店で買う。新しいシードフレーズを作る |
| 国内の登録業者の口座 | 端末の確認を待つ間や、売買に使う分 | 取引所が預かる形になる。法律で守られる範囲は保管場所の比較の記事で確認 |
別のハードウェアウォレットを選ぶ場合の買い方は、カード型のTangemを例にコールドウォレットの作り方（Tangemの買い方・使い方と送金手順）で説明しています。どのメーカーの端末も、偽物や改ざんされた端末を買ってしまう危険はゼロではありません。どの端末でも、買う場所を公式か正規の販売店に絞ることが一番の対策です。
取引所・ハードウェアウォレット・スマホのウォレットのどれに置くと、どこまで守られるのかは、仮想通貨はどこに保管するのが安全？で比べています。
よくある質問
Keystoneのシードフレーズや秘密鍵は漏れましたか？
漏れていません。Keystoneは、今回の件にシードフレーズ・秘密鍵・その他のウォレットの認証情報は含まれないと発表しています（Keystone公式Xの発表、2026年10月27日確認）。
Amazonで買ったKeystoneも対象ですか？
個人情報の流出は対象外です。Keystoneは、Amazonなど他の販売経路の購入情報は影響を受けていないとしています。ただし端末の認証の扱いは購入先ではなく受け取った日で決まるため、10月20日より後に受け取った端末はサポートで確認を受けてください。
認証ページで「正規品」と出れば安心ですか？
10月20日より前に届いた端末なら安心です。10月20日より後に受け取った端末は、認証が通っても偽物の可能性を完全には否定できないとKeystoneは説明しており、サポートの追加確認が必要です。
「端末を回収するので送ってください」と連絡が来たらどうする？
詐欺です。Keystoneは端末の返送を求めないとし、「回収」を口実に端末を送らせようとする相手は詐欺師として扱うよう呼びかけています。
自分の個人情報が漏れたかどうかは、どう確かめますか？
Keystoneは10月30日、影響を受けた人全員にsupport@keyst.oneからメールを送ったと発表しました。この件のメールはこのアドレスからしか送らないので、差出人を毎回確かめてください（Keystone公式Xの続報（10月30日22時5分）、2026年11月4日確認）。影響を確かめるページについて、Keystoneは10月30日に「寄せられた意見をもとに、より安全にする作業を進めている」としています（ページのURLは公式Xで確かめてから開いてください）。メールのリンクは押さず、公式サイトを自分で開いて確かめてください。
公式サイトで注文したKeystoneの端末がまだ届かないのはなぜ？
公式サイトの未発送の注文は、すべて発送が止まっています。配送中の荷物が届いたら受け取りを断り、support@keyst.oneにメールしてください。今の注文は新しい認証鍵の端末の予約販売で、届くのは4〜6週間後の見込みとKeystoneは案内しています（Keystone公式Xのよくある質問（10月30日0時23分）、2026年11月4日確認）。
漏れた個人情報はいつ消されますか？
Keystoneは10月24日にShopifyへ消去を依頼し、Shopifyの決まりで10日待つため、11月3日に完了する見込みと発表していました。2026年11月4日の確認では、完了の発表は公式Xに出ていません。配送情報の保存期間は10月30日に90日へ縮められ、注文が届いたあとにサポートへ頼めばすぐ消すとしています（Keystone公式Xの続報（10月30日22時5分））。すでに攻撃者が手に入れた情報は消えないため、詐欺への注意は続けてください。
Keystoneから別のハードウェアウォレットに乗り換えるべきですか？
Keystoneは、この件だけを理由に資産を移す必要はないとしています。乗り換えるかどうかは自分で決めてかまいませんが、移す場合は新しい端末を公式か正規の販売店で買い、新しいシードフレーズを作り、少額で試してから移してください。
まとめ：Keystoneの件で覚えておくこと
- Keystoneは10月20日に公式サイトへの不正アクセスを検知し、公式サイトの購入者25,964件の個人情報、未払いの注文12,873件の記録、端末の認証鍵が盗まれたと発表した
- シードフレーズ・秘密鍵は盗まれていない。この件だけを理由に資産を移す必要はないと公式は説明
- 10月20日より前に届いた端末は、認証が通れば使える（ファームウェアの更新も安全）。10月20日より後に受け取った端末は、サポートの確認が取れるまで使わない。配送中の荷物は受け取りを断り、support@keyst.oneへ連絡する
- 回収・交換・返金・資産の移行・ウォレットの確認をうたう電話・メール・郵便は詐欺として扱う。シードフレーズはどこにも入力しない
本記事の内容は2026年11月4日（日本時間）時点のKeystone公式発表（10月25日・26日・30日の公式Xの投稿）にもとづきます。続報が出たら追記します。
端末の確認を待つ間、すぐに使わない分を分けて置く先に
※広告（PR）：上のボタンは当サイトの紹介リンクです。OKJ（関東財務局長 第00020号）の紹介特典の条件は、冒頭の案内と同じです。
