SafePal 泄露暴露近40,000名加密钱包客户数据

执行摘要

加密货币硬件钱包制造商SafePal于周日确认，一起数据泄露事件泄露了近40,000名客户的个人信息。被盗数据包括姓名、电子邮件地址、收货地址、电话号码和在2025年3月2日至2026年4月11日之间下单的购买详情。尽管SafePal坚称钱包、助记词和私钥仍然安全，但暴露的个人数据显著增加了针对加密货币持有者的定向网络钓鱼和物理攻击的风险。

这起事件是过去一个月内硬件钱包供应商遭受的第三起泄露事件，紧随Trezor和Coinkite发生的类似事件之后。这种反复出现的事件突显了对依赖硬件钱包安全存储数字资产的生态系统的日益增长的威胁。

技术分析

SafePal将泄露归因于与客户订单信息相关的插件中的订单跟踪功能的缺陷。根据公司博客文章，该缺陷允许在某些条件下未经授权地访问另一个客户的订单信息。公司已经补救了这个问题，但没有披露有关漏洞或攻击者如何利用它的技术细节。

这起泄露最初在暗网网络犯罪论坛上被广告，一名黑客声称拥有从SafePal盗取的数据。公司已经通过电子邮件通知了受影响的客户，并建立了一个网站供个人检查他们是否受到影响。

SafePal的回应强调，泄露没有危及钱包本身的加密安全性。然而，个人详情的暴露——尤其是收货地址和电话号码——创造了社会工程和物理攻击的重大风险。公司警告说，受影响的客户可能会面临复杂的网络钓鱼尝试，包括电话、电子邮件、短信、退款优惠和假冒客户支持信息。

缓解措施与建议

受影响的SafePal客户应该将任何提及他们订单的未经请求的通信视为潜在的恶意行为。不要点击链接或在回应声称来自SafePal或相关服务的电子邮件、短信或电话时提供敏感信息。使用官方渠道来验证任何通信。

鉴于与加密货币持有者相关的物理风险，拥有大量数字资产的个人应该审查他们的个人安全实践。这包括避免公开分享与钱包相关的信息，并对在人前透露加密货币持有量保持谨慎。扳手攻击的增加——攻击者使用暴力或威胁迫使受害者交出资产——强调了提高警觉的必要性。

加密货币领域的组织应该监控类似的订单跟踪插件漏洞，并确保访问控制得到强有力的实施。定期的安全审计和及时修补已识别的漏洞对于防止此类泄露至关重要。