Новости криптомира

Производитель аппаратных криптокошельков SafePal раскрыл масштабный инцидент, затронувший около 39 798 клиентов. В руки третьих лиц попали персональные данные: имена, адреса доставки, номера телефонов, электронные почты и детали заказов. Это серьезный удар по приватности, но, что критически важно, злоумышленники не получили доступа к сид-фразам, приватным ключам или финансовой информации. Компания не хранит эти данные, и признаков взлома кошельков не обнаружено.

Тем не менее, утечка создает благоприятную почву для целевых атак. Мошенники теперь могут звонить, писать или рассылать фишинговые сообщения от имени поддержки SafePal, предлагая «возврат средств» или требуя обновить прошивку. Команда проекта уже мониторит поддельные ресурсы и работает над их блокировкой.

Корень проблемы

Причиной утечки стала ошибка авторизации в плагине отслеживания заказов. Система некорректно обрабатывала права доступа, позволяя постороннему наблюдать заказы других клиентов. На момент публикации заявления разработчики уже устранили уязвимость и усилили защиту. Инцидент затронул заказы, оформленные в период с 2 марта 2025 по 11 апреля 2026 года, однако точные сроки атаки и ее обнаружения не раскрываются.

Сейчас SafePal проводит расследование совместно с независимой компанией по безопасности и готовит аудит всей системы обработки заказов. В соответствии с законодательством срок хранения данных сокращен до 90 дней, а логистические партнеры уведомлены о необходимости проверки своих систем.

Это уже второй подобный случай за неделю. Ранее, 13 августа, с утечкой данных почти 14 000 клиентов столкнулся проект Trezor из-за взлома логистического партнера ShipMonk. Тенденция тревожная: даже аппаратные кошельки, защищающие криптоактивы, оказываются уязвимыми на уровне обработки персональных данных.

Мой вывод: Инцидент подчеркивает, что безопасность в криптоиндустрии не ограничивается защитой ключей. Фишинг через утекшие данные — это тихая угроза, которая может привести к потере средств, если пользователь не проявит бдительность. Всегда проверяйте адреса сайтов и не доверяйте сообщениям, даже если они выглядят официально. Безопасность — это комплексный процесс, и доверять его нужно только тем, кто относится к нему с максимальной серьезностью.