SafePal розкриває витік даних: під загрозою майже 40 000 користувачів апаратних гаманців
16 серпня команда SafePal, відомого виробника апаратних криптогаманців, офіційно підтвердила факт компрометації персональних даних. Інцидент торкнувся близько 39 798 користувачів, чиї імена, адреси доставки, номери телефонів, електронні пошти та деталі замовлень опинилися в руках третіх осіб. Це серйозний сигнал для всього сектора, враховуючи чутливість аудиторії криптоіндустрії.
Важливо підкреслити: витік не торкнувся критично важливих активів. Сид-фрази, приватні ключі, паролі та фінансова інформація (банківські реквізити, номери карток) не були скомпрометовані, оскільки SafePal не зберігає ці дані на своїх серверах. Команда проєкту заявляє, що не виявила слідів несанкціонованого доступу до коштів користувачів або їхніх гаманців.
Однак головна небезпека криється у векторі подальших атак. Зловмисники, маючи контактні дані, можуть розгорнути цілеспрямовані фішингові кампанії: дзвінки від імені підтримки, фальшиві пропозиції про повернення коштів, вимоги оновити прошивку або переходи на підроблені сайти. У SafePal уже моніторять такі ресурси та ініціюють їх блокування.
Технічні деталі інциденту
Корінь проблеми — помилка авторизації в плагіні відстеження замовлень, інтегрованому з клієнтською базою. Плагін некоректно обробляв права доступу, що дозволяло стороннім особам переглядати замовлення інших користувачів. На момент публікації заяви вразливість була усунена, а захисні заходи посилені.
Витік торкнувся клієнтів, які здійснювали покупки в період з 2 березня 2025 по 11 квітня 2026 року. Точні строки експлуатації вразливості та момент її виявлення не розкриваються. Зараз SafePal проводить розслідування спільно з незалежною компанією з безпеки та готує повний аудит системи обробки замовлень.
Як превентивні заходи компанія скоротила строк зберігання даних в уразливій системі до 90 днів і повідомила логістичних партнерів, запросивши перевірку їхніх систем на предмет зараження. Примітно, що це вже другий подібний випадок за тиждень: раніше, 13 серпня, з витоком даних майже 14 000 клієнтів зіткнувся Trezor, чий логістичний партнер ShipMonk був зламаний.
Мій аналіз: Ця ситуація підкреслює системну проблему в індустрії апаратних гаманців — безпека пристрою не гарантує безпеку всього ланцюга постачання та клієнтського сервісу. Користувачам варто бути гранично пильними: будь-яке повідомлення, що посилається на ваше замовлення або вимагає дій від імені SafePal, має перевірятися через офіційні канали. Настійно рекомендую увімкнути двофакторну автентифікацію всюди, де це можливо, та ігнорувати будь-які запити на «оновлення прошивки» за посиланнями з електронних листів або SMS.