SafePal数据泄露：近4万客户订单记录遭波及

加密安全新闻

硬件钱包制造商SafePal于8月10日确认，其订单管理系统存在安全漏洞，导致近4万名客户的个人信息遭到泄露。公司表示，在2025年3月2日至2026年4月11日期间下单的39798名用户的姓名、实际地址和联系方式被未经授权访问。

该事件未涉及任何加密货币资金的损失。助记词、私钥、密码、支付卡号以及政府签发的身份证明文件均未受影响。此次泄露仅限于与订单相关的个人数据。

插件漏洞导致客户订单暴露

SafePal将此次泄露追溯至其用于追踪客户订单的第三方插件中的授权漏洞。该漏洞可能允许用户通过更改系统中的订单编号来访问其他客户的订单详情。其机制类似于一个未验证请求者是否为实际收件人的包裹追踪页面。SafePal在发现该漏洞后立即进行了修复，并作为应急响应的一部分引入了额外的安全控制措施。

公司聘请了独立的第三方安全公司对修复方案进行审计。该公司还审查了SafePal更广泛的订单处理基础设施，以检查是否存在其他弱点。所有39798名受影响客户均已通过security@safepal.com发送的电子邮件收到通知。SafePal识别并移除了超过30个与该漏洞相关的欺诈网站和钓鱼链接。客户可以使用SafePal网站上的验证工具来检查自己的数据是否被包含在内。未来，SafePal表示将在其订单系统中保留客户个人数据的时间不超过自收集之日起90天。

用户面临钓鱼风险，应立即采取行动

SafePal表示，任何通过钓鱼邮件、电话或信件泄露了私钥或助记词的客户，应立即将其钱包视为已遭入侵。这些用户应立即将所有资产转移至新钱包。该警告适用于所有情况，无论此次钓鱼尝试是否直接与本次特定漏洞有关。

SafePal事件发生前不久，Coldcard硬件钱包也遭遇了独立的安全漏洞，据报道攻击者窃取了至少1.2亿美元的比特币。这两起事件涉及不同公司和不同的攻击途径，但说明硬件钱包并非完全免于安全故障。SafePal的案例表明，风险可能源自钱包购买过程中的商业系统，而不仅仅是钱包本身。泄露的订单数据为攻击者提供了足够的个人信息，能够针对其信息被窃取的客户发起定向的钓鱼和冒充攻击。