Утечка данных в SafePal: под ударом почти 40 000 пользователей аппаратных кошельков
16 августа производитель аппаратных криптокошельков SafePal официально подтвердил инцидент с утечкой персональных данных, затронувший порядка 39 798 клиентов. В результате несанкционированного доступа в руки третьих лиц попали имена пользователей, адреса доставки, номера телефонов, электронные почты и детали заказов.
Важно подчеркнуть: критическая финансовая информация не пострадала. Сид-фразы, приватные ключи, пароли, банковские реквизиты и данные платежных карт не были скомпрометированы, поскольку SafePal, по заявлению команды, не хранит подобные сведения на своих серверах. На данный момент нет никаких свидетельств того, что злоумышленники получили доступ к средствам или кошелькам пользователей.
Однако расслабляться рано. Утечка создает благоприятную почву для целевых фишинговых атак. Злоумышленники, обладая контактными данными, могут выдавать себя за службу поддержки SafePal, предлагать ложный возврат средств, требовать «обновить прошивку» или перенаправлять жертв на поддельные веб-ресурсы. Команда проекта уже мониторит фишинговые домены и активно добивается их блокировки.
Причина инцидента и масштаб ущерба
Корень проблемы кроется в ошибке авторизации в плагине отслеживания заказов, интегрированном с клиентской базой. Из-за некорректной обработки прав доступа посторонний пользователь мог просматривать заказы других клиентов. К моменту публикации заявления уязвимость была устранена, а защитные меры усилены.
Инцидент затронул клиентов, совершавших покупки в период с 2 марта 2025 года по 11 апреля 2026 года. SafePal пока не раскрывает точные сроки эксплуатации уязвимости и момент ее обнаружения. Сейчас проводится совместное расследование с независимой компанией по безопасности, а также запланирован полный аудит системы обработки заказов.
В качестве превентивной меры компания сократила срок хранения данных в уязвимой системе до 90 дней и уведомила логистических партнеров, попросив их проверить свои системы на предмет компрометации. Примечательно, что всего за несколько дней до этого, 13 августа, аналогичная проблема вскрылась у конкурента SafePal — проекта Trezor, где утечка данных затронула почти 14 000 клиентов.
Мой анализ: Этот инцидент — очередное напоминание о том, что даже самые защищенные аппаратные кошельки не гарантируют полной анонимности и безопасности, когда речь идет о сопутствующих сервисах, таких как доставка и логистика. Данные о заказах — это слабое звено в экосистеме, и пользователям стоит быть предельно осторожными с любыми входящими сообщениями, даже если они выглядят официально. Внимательность — ваш главный актив в условиях растущего числа подобных атак.