加密新闻

8月16日，硬件加密钱包制造商SafePal正式确认发生数据泄露事件，影响约39,798名用户。事件导致第三方获取了客户的个人数据：姓名、送货地址、电话号码、电子邮件地址以及已下订单的详细信息。

需要强调的是：此次泄露并未涉及高度敏感信息。助记词、私钥、密码、银行信息和支付卡数据均未受影响——SafePal根本不会存储这些信息。项目团队未发现用户资金或钱包遭到未经授权访问的迹象，这在一定程度上减轻了事件的严重性，但并未消除风险。

当前的主要威胁是定向钓鱼攻击。掌握联系方式的攻击者可能冒充SafePal客服：打电话、发消息、提出“退款”、要求更新固件或引诱用户访问假冒网站。开发团队已在监控钓鱼资源并推动其被屏蔽，但用户仍需保持高度警惕。

事件原因

问题的根源在于与客户数据集成的订单跟踪插件中的授权错误。该插件对信息访问的处理不当，使得外部人员能够查看其他用户的订单。截至声明发布时，漏洞已被修复，防护措施也已加强。

此次事件影响了在2025年3月2日至2026年4月11日期间下单的客户。漏洞被利用的确切时间以及发现时间尚未披露。目前，SafePal正与一家独立安全公司合作进行调查，并计划对整个订单处理系统进行全面审计。

为符合法律法规要求，公司已将数据存储期限缩短至90天，并已通知物流合作伙伴，要求其检查系统是否可能受到影响。

这是本周内第二起类似事件：8月13日，竞争对手Trezor也发生了类似泄露，因物流合作伙伴ShipMonk遭到入侵，近14,000名客户受到影响。这一趋势令人担忧：硬件钱包行业正面临对外围服务而非设备本身的攻击增加。

我的评论：此次事件再次提醒我们，加密资产的安全性不仅取决于设备的可靠性，还取决于整个数据处理链条。对于处于风险范围内的SafePal用户，我强烈建议忽略任何关于“更新”或“验证”的主动请求，并始终仅通过官方渠道联系客服。