Компания-производитель аппаратных кошельков SafePal сообщила об инциденте безопасности, в результате которого третьи лица получили несанкционированный доступ к данным заказов примерно 39 798 клиентов. Причиной стала ошибка авторизации в функции отслеживания заказов, связанной с соответствующим плагином, а сам инцидент может создать риск целенаправленных фишинговых и мошеннических атак против владельцев криптокошельков.
«Мы недавно выявили недостаток в плагине отслеживания заказов, который привел к несанкционированному доступу к информации о части клиентов», — сообщила компания.
Инцидент касается пользователей, которые оформляли заказы со 2 марта 2025 года по 11 апреля 2026 года. Среди информации, которая могла оказаться у третьих лиц, — имя, электронный адрес, адрес доставки, номер телефона, а также детали покупки и заказа.
SafePal подчеркнула, что seed-фразы, приватные ключи, пароли и другие учетные данные криптокошельков не были скомпрометированы. Также утечка не касалась банковских счетов, номеров платежных карт и государственных документов, удостоверяющих личность.
«Этот инцидент не касался вашей seed-фразы, приватных ключей, пароля от кошелька или других учетных данных кошелька, информации о банковском счете, номеров платежных карт или документов, выданных государством», — заявили в SafePal.
SafePal опасается фишинговых атак
Компания уже устранила выявленную уязвимость и внедрила дополнительные меры безопасности. Пострадавших клиентов SafePal уведомила отдельными письмами с адреса security@safepal.com 16 августа.
Основной риск после утечки связан не с непосредственной кражей криптовалют, а с возможностью использования полученной информации для более убедительных атак.
Злоумышленники могут попытаться выдать себя за SafePal и обращаться к пользователям через:
- электронную почту, телефон или SMS;
- фальшивые предложения возврата средств;
- сообщения о необходимости обновить прошивку;
- поддельную службу поддержки;
- мошеннические сайты и QR-коды;
- письма или физические посылки, связанные с заказами SafePal.
Компания призвала пользователей никогда не передавать seed-фразу, приватный ключ или пароль, даже если запрос поступает от человека, который представляется сотрудником SafePal.
SafePal также сообщила, что уже удалила более 30 мошеннических сайтов и фишинговых ссылок, связанных с соответствующей активностью, и продолжает мониторинг новых доменов.
Для проверки того, затронул ли инцидент конкретный заказ, компания опубликовала отдельную страницу, где пользователи могут указать номер заказа и страну доставки.
Компания усилила контроль за данными клиентов
SafePal заявила, что привлекает независимую стороннюю компанию по кибербезопасности для проверки исправления и более широкого аудита систем обработки заказов.
Кроме того, компания:
- сократила срок хранения персональных данных в соответствующей среде до 90 дней, если иное не требуется законодательством;
- создала специальный канал поддержки для пострадавших клиентов;
- проверяет системы сторонних логистических и фулфилмент-партнеров;
- продолжает собирать сообщения пользователей о мошеннической активности.
SafePal отдельно отметила, что пользователям не нужно перемещать свои криптоактивы только из-за того, что их данные о заказе попали к третьим лицам.
В то же время, если владелец кошелька уже передал seed-фразу или приватный ключ в ответ на подозрительное сообщение или через мошеннический сайт, компания рекомендует считать такой кошелек скомпрометированным и переместить остаток активов на новый кошелек, созданный через надежное устройство или официальное приложение SafePal.
Инцидент произошел на фоне серии утечек, которые в последнее время затрагивают пользователей аппаратных криптокошельков. В частности, после взлома логистического партнера Trezor 13 689 клиентов оказались под угрозой целенаправленных фишинговых атак, хотя собственные системы и устройства производителя также не были скомпрометированы.
Ранее масштабная атака на Coldcard также вызвала значительную реакцию среди владельцев биткоина: после инцидента на сумму более $100 млн долгосрочные владельцы переместили около 210 000 BTC, что стало одним из крупнейших перемещений монет этой категории в 2026 году.
end-content
