SafePal订单追踪漏洞致39,798名客户数据泄露

SafePal 披露订单追踪插件漏洞，约 39,798 名客户信息遭泄露

SafePal 在发现其用于订单追踪的插件存在授权漏洞后，披露了约 39,798 名客户的个人信息与购买信息遭到未授权访问。受影响的数据涉及在 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的客户。

被泄露的信息包括姓名、电子邮件地址、送货地址、电话号码和购买详情。种子短语、私钥、钱包密码、银行账户信息、支付卡号以及政府颁发的身份证号码并未遭到泄露，同时 SafePal 也未发现任何证据表明该漏洞导致客户钱包或资金受到影响。

SafePal 修复授权漏洞

该漏洞影响了一个与客户购买信息相关联的订单追踪功能。在某些条件下，此授权缺陷允许未授权方访问其他客户的订单记录。

SafePal 在发现该漏洞后已将其修复，并引入了额外的安全控制措施。该公司还将受影响订单处理环境中的个人信息保留期限缩短至 90 天，并正聘请一家独立安全公司验证修复效果，同时对整个系统进行审查。

受影响客户于 8 月 16 日收到了 SafePal 发出的单独通知。该公司还联系了物流与配送合作伙伴，以确认此次泄露是否波及到他们的系统。

硬件钱包买家面临钓鱼风险

泄露的信息为攻击者提供了足够的客户特定数据，使其能够构造更具欺骗性的冒充行为。SafePal 警告受影响用户警惕以下行为：欺诈电话、电子邮件、短信、实体信件、退款提议、虚假固件更新、恶意网站以及引用真实购买信息的意外硬件送货。

此次披露正值本月早些时候 ShipMonk 发生数据泄露事件，该事件暴露了 13,689 名 Trezor 客户的个人信息。那次泄露涉及与硬件钱包配送相关的姓名和联系方式，但 Trezor 设备、私钥和钱包备份未受影响。

今年夏天，硬件钱包安全性还面临另一项技术威胁。与 Coldcard 相关的比特币失窃案可能已达到 2,055 BTC，价值约 1.32 亿美元，原因是攻击者针对由易受攻击固件版本生成的种子下手。Galaxy Research 已识别出至少 15 个利用该漏洞的独立攻击者。

超过 30 个钓鱼网站被关闭

SafePal 已识别并移除超过 30 个与此泄露相关的诈骗活动和钓鱼链接。在独立安全审查进行的同时，对更多恶意域名的监控仍在继续。

订单信息遭泄露的客户无需仅因此次泄露而转移资金。任何已在可疑网站、信息或其他通信中输入种子短语或私钥的人，应将相应钱包视为已受损，并将剩余资产转移至新生成的钱包。

SafePal 正引导受影响客户前往其专用支持渠道，并告知用户，任何引用其购买历史记录的意外通信或硬件送货都应视为可疑。