Утечка SafePal: данные почти 40 000 владельцев холодных кошельков в сети

Производитель аппаратных кошельков SafePal сообщил об утечке данных, затронувшей около 39 798 клиентов — злоумышленники получили доступ к информации через уязвимость в плагине отслеживания заказов на сайте компании. Утечка коснулась покупателей, оформивших заказы в период с 2 марта 2025 года по 11 апреля 2026 года; в открытом доступе оказались имена, email-адреса, адреса доставки, номера телефонов и данные о покупках.

Компания подчеркнула, что затронутые данные не включают ничего, что напрямую угрожает средствам пользователей. SafePal заявила, что сид-фразы, приватные ключи, пароли от кошельков, банковские реквизиты, номера карт и государственные ID-документы затронуты не были. По данным издания The Block, SafePal объяснила случившееся ошибкой авторизации в системе отслеживания заказов, которая позволила получить несанкционированный доступ к персональным данным клиентов.

Проблема в том, что о признаках взлома было известно раньше официального раскрытия. Клиенты сообщали о попытках фишинга ещё в июле, хотя сама компания назвала точную причину утечки лишь недавно. Это подпитывает критику в адрес SafePal за задержку с публичным уведомлением — при том, что физический адрес доставки в связке с именем и телефоном создаёт риск не только фишинга, но и так называемых «wrench attacks», когда держателя криптоактивов пытаются найти и принудить к передаче средств офлайн.

В ответ компания сократила срок хранения персональных данных о заказах до 90 дней, привлекла внешнюю компанию для проверки исправления и, по собственным данным, удалила более 30 мошеннических сайтов и фишинговых ссылок, связанных с инцидентом.

Для владельцев аппаратных кошельков это очередное напоминание: безопасность самого устройства и безопасность цепочки поставок — компании, магазина, службы доставки — разные вещи. Даже кошелёк, который никогда не подключался к интернету, может стать мишенью через утечку у производителя. Проверить, попали ли ваши данные в утечку, можно через официальный инструмент верификации на сайте SafePal — но главное правило остаётся неизменным: ни один сотрудник службы поддержки никогда не запросит сид-фразу.