订单插件缺陷导致 39,798 名 Safepal 用户数据泄露

核心要点

• Safepal 遭受数据泄露，泄露了 39,798 名用户的个人详情和收货地址。
• 虽然钱包私钥仍然安全，但泄露的地址使用户容易受到物理“扳手攻击”。
• Safepal 修复了该漏洞，但因在已有诈骗报告的情况下延迟披露而面临严厉批评。

Safepal 披露新客户数据事件：涉及近 4 万名用户

总部位于 Seychelles 的钱包制造商 Safepal 正面临一场涉及其部分用户的安全危机。

周日，该公司披露其遭受了未经授权的数据泄露，涉及 39,798 名客户，原因是一个用于订单追踪的插件存在缺陷，导致身份不明的人员能够访问这些信息。

此次数据泄露涉及 2025 年 3 月 2 日至 2026 年 4 月 11 日期间的客户订单，向攻击者泄露了潜在的关键信息，包括姓名、电子邮件地址、收货地址、电话号码和购买详情。

公司确保在此次事件中，助记词、私钥、钱包密码或其他钱包凭证未被提取。

Safepal 承认，此次泄露可能会导致复杂的网络钓鱼尝试，包括 “欺诈电话、电子邮件、短信、信件、退款优惠、固件更新请求、虚假客户支持沟通、恶意网站，或其他获取您的钱包凭证或额外个人信息的尝试。”

尽管如此，Safepal 声称已修复该问题并实施了新的安全措施以防止类似泄露，包括将数据保留期限缩短至 90 天，并关停了 30 个与诈骗计划相关的欺诈网站。

然而，安全研究员 Tay 强调，这些数据不太可能仅用于网络钓鱼，因为收货地址和个人数据已被泄露，这表明地址被泄露的用户面临更高的风险。

另一位区块链调查员 Specter 强调，该公司早在 4 月份就开始收到网络钓鱼尝试的报告，但直到现在才披露。Tay 证实，春夏期间报告的几起案例可能与此次泄露有关。

据称卷入此次泄露的一名客户指出，该公司在此次披露前删除了他的数据，批评了 Safepal 的数据保留政策。

Safepal 的声明是在 Trezor 发生类似事件之后发布的，后者的运输供应商 Shipmonk 遭受了数据泄露，泄露了来自 United States、United Kingdom、Sweden、Colombia、Brazil、Italy 和 Portugal 的 11,742 名客户的全名、电子邮件地址、电话号码和收货地址。

这一系列泄露事件令相关用户感到担忧，因为加密货币持有者已成为所谓“扳手攻击”的目标，尤其是在 France。