加密新闻

8月16日，硬件加密货币钱包制造商SafePal正式确认发生数据泄露事件，影响约39,798名客户。事件导致第三方获取了个人敏感信息：用户姓名、收货地址、电话号码、电子邮箱及订单详情。

需要强调的是：该事件未涉及高度敏感信息。助记词、私钥、密码、银行账户信息、卡号及证件号码均未被泄露——SafePal并未在其服务器上存储这些数据。项目团队未发现任何未经授权访问用户钱包或资金的迹象，这在一定程度上减轻了事件的严重性。

尽管如此，受影响用户面临的风险仍然较高。攻击者可能利用泄露的数据发起定向钓鱼攻击：冒充客服来电、发送退款诱导消息、要求更新固件或引导访问假冒网站。SafePal已在监控钓鱼资源，并积极推动其封禁。

事件原因

问题的根源在于与客户数据集成的订单跟踪插件存在授权错误。该插件对访问权限的处理不当，导致外部人员能够查看其他用户的订单。截至声明发布时，漏洞已被修复，安全措施也已加强。

该事件影响在2025年3月2日至2026年4月11日期间下单的客户。漏洞被利用的具体时间及发现时间尚未披露。目前，SafePal正与独立安全公司联合开展调查，并计划对订单处理系统进行全面审计。

根据监管要求，公司已将该系统中的数据存储期限缩短至90天，并已通知物流合作伙伴，要求其检查系统是否存在潜在影响。

值得注意的是，这是本周内第二起类似事件。此前，8月13日，Trezor遭遇了类似问题：物流合作伙伴ShipMonk被入侵，导致近14,000名客户的个人数据泄露。硬件钱包行业接连发生此类事件，引发了对供应链及用户数据处理安全标准的质疑。

我的评论：尽管SafePal强调用户资金未受影响，但个人数据泄露对整个行业而言是一个严重信号。硬件钱包被定位为最高安全级别的解决方案，任何外围系统的故障都会削弱品牌信任度。建议受影响用户对任何收到的消息保持高度警惕，尤其是要求提供数据或点击链接的消息。