加密新闻

硬件加密货币钱包制造商SafePal已正式确认发生数据泄露事件，影响约39,798名客户。第三方获取了个人详细信息，包括姓名、送货地址、电话号码、电子邮箱和订单详情。这对整个行业来说是一个严重信号，因为即使是被视为安全标准的硬件解决方案，在配套服务层面也可能存在漏洞。

需要强调的是：此次事件并未涉及高度敏感数据——如助记词、私钥、密码、银行信息或卡号。SafePal原则上不存储此类信息，这证实了没有未经授权访问用户钱包或资金的迹象。然而，个人数据的泄露为定向攻击打开了广阔的空间。

攻击向量与潜在风险

攻击者获取联系信息后，可能发起钓鱼活动：冒充客服打电话、提供虚假退款、要求更新固件或将用户引导至伪造网站。SafePal团队已在监控钓鱼网站并积极推动其封禁，但用户应保持高度警惕。

问题的根源是订单跟踪插件中的授权错误，该插件与客户数据集成。插件在处理访问权限时存在缺陷，允许未经授权的人员查看其他用户的订单。截至声明发布时，开发人员已修复该漏洞并加强了安全措施。此次事件影响2025年3月2日至2026年4月11日期间提交的订单，但漏洞被利用的确切时间尚未披露。

回应与行业教训

SafePal正在与独立安全公司合作进行调查，并计划对订单处理系统进行全面审计。根据监管要求，数据保留期限已缩短至90天，物流合作伙伴也已收到通知，需检查其系统。

值得注意的是，这是本周内第二起类似事件：8月13日，Trezor因物流合作伙伴ShipMonk遭入侵而发生类似泄露，影响近14,000名客户。这一趋势凸显了一个系统性问题：硬件钱包的安全性直接取决于整个供应链和订单处理流程。作为分析师，我建议用户在购买硬件时尽量减少提供的个人数据量，并始终核实来自制造商的通信真实性。