SafePalのデータ流出、約4万人の仮想通貨ウォレット顧客に影響

暗号資産ハードウェアウォレットを所有しており、フィードに SafePal という名前が表示されたばかりであれば、何が起きているのかを説明します。同社は日曜日に、2025年3月2日から2026年4月11日の間に注文を行った39,798人の顧客の個人情報がデータ流出により漏洩したことを明らかにしました。

SafePal は、投資家がデジタル資産を保管および管理できるように設計された物理的なハードウェアウォレットやソフトウェアアプリケーションを製造する暗号資産セキュリティ企業です。今回の流出では誰の暗号資産保有額にも影響はありませんでしたが、氏名、住所、連絡先が流出しました。これらは詐欺師が説得力のあるフィッシングメールやなりすまし詐欺を作成するために使用できる種類の情報です。

注文追跡の欠陥が突破口に

CoinDesk の報道によると、SafePal はこの流出の原因を、顧客の注文を追跡するために使用されているプラグインの「認証の欠陥」であると突き止めました。この欠陥により、攻撃者は注文番号を変更するだけで、他の顧客の注文領収書や配送詳細を閲覧できた可能性があります。これは、店舗の小包追跡ページで、ある購入者が別の購入者の領収書をのぞき見できるようなものだと考えてください。

同社は、ウォレットの核となるセキュリティは損なわれていないことを強調しました。暗号資産の資金、シードフレーズ、秘密鍵、銀行のパスワード、決済カード番号、政府発行の ID などは流出していません。それでも、SafePal は、情報が漏洩したユーザーはフィッシングやなりすましのリスクが高まっていると警告しました。

顧客は as early as July からフィッシングの標的になっていることをオンラインに投稿していましたが、SafePal は流出の根本原因を特定したのはつい最近であると述べています。

欠陥を修正し、30以上の偽サイトを削除

SafePal は、脆弱性を修正し、追加のセキュリティ対策を導入したと発表しました。同社は日曜日に [email protected] からのメールですべての影響を受けた顧客に通知し、修正の監査と注文処理システムの見直しのために独立した第三者セキュリティ企業を雇いました。

SafePal はまた、この流出に関連する30以上の詐欺ウェブサイトとフィッシングリンクを特定し、削除しました。今後、同社は顧客の個人情報を注文処理システムに収集日から90日間のみ保持すると述べています。

フィッシングメール、電話、または手紙に応じて秘密鍵やシードフレーズを共有してしまった人は、ウォレットが侵害されたものとして扱い、資産を新しいウォレットに移動させるべきだと SafePal は述べています。顧客は SafePal のウェブサイトにある確認ツールを使用して、自分のデータが影響を受けたかどうかをチェックできます。

ハードウェアウォレットは万全ではない

今回の SafePal の件は、攻撃者が少なくとも $120 million の bitcoin を盗んだとされる最近の Coldcard ハードウェアウォレットのハッキングに続くものだと CoinDesk は報じています。これら2つの流出は性質が異なりますが、共通して単純な事実を浮き彫りにしています。それは、完全にリスクのない暗号資産の保管ソリューションは存在しないということです。セキュリティの専門家は長い間、保有者に対して集中リスクを評価し、必要に応じて保有資産とそれらを保管するために使用するウォレットの両方を分散させるよう促してきました。

影響を受けた期間に SafePal デバイスを購入した Northeast Philadelphia の居住者にとって、今すぐ取るべきステップは単純です。SafePal の確認ツールをチェックし、注文に言及している不審なメールや手紙に注意し、メッセージがいかに公式なものに見えても、連絡してきた相手にシードフレーズや秘密鍵を絶対に教えないことです。