SafePal 数据泄露暴露了 39,798 名加密货币钱包客户的个人信息

SafePal 于 8 月 16 日披露了一起数据泄露事件，原因是订单跟踪插件存在授权漏洞，导致未经授权的人员能够获取与硬件钱包购买相关的个人信息，约 39,798 名客户受到影响。此次泄露涉及 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的客户，其姓名、邮箱地址、收货地址、电话号码和购买详情均已遭到泄露。该公司表示，钱包助记词、私钥、密码、支付卡信息、银行账户详情和政府身份证明文件均未遭到泄露，也没有证据表明钱包安全性遭到直接破坏或客户资金被盗。

SafePal 数据泄露暴露客户联系信息和购买数据

根据 SafePal 于 8 月 16 日发布的公告，泄露记录涵盖 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的订单。泄露信息包括客户姓名、邮箱地址、收货地址、电话号码和购买详情。该公司强调，钱包助记词、私钥、密码、支付卡信息、银行账户详情和政府身份证明文件均未遭到泄露。SafePal 表示，没有证据显示该事件直接危及用户钱包安全或导致客户资金被盗。对于一家非托管钱包提供商而言，这一区分至关重要。虽然攻击者并未获取能够直接控制钱包所需的加密凭证，但泄露的联系信息和购买信息仍可用于识别加密货币持有者，从而可能助长高度针对性的网络钓鱼攻击。

订单跟踪插件授权漏洞导致未经授权的访问

SafePal 将事件根源追溯至用于跟踪客户订单的插件中的授权漏洞。在特定条件下，该漏洞允许未经授权的人员访问其他客户的信息。SafePal 表示，该漏洞已修复，并已实施额外的访问控制措施。5 月初，SafePal 首次收到有关网络钓鱼攻击的报告，这些攻击后来被确认与此次数据泄露事件有关。SafePal 最初将其作为单一的孤立事件进行调查，随后升级应对措施，并开始对其订单处理基础设施展开更广泛的审查。7 月，调查人员最终确认了该授权漏洞，并开始对订单处理流程进行全面审查和重建。另一个独立的数据保留配置问题还导致部分较早的客户记录保留时间超过 SafePal 原先的预期，扩大了事件范围。随后，SafePal 将个人订单信息的保留期限缩短至 90 天。

硬件钱包客户数据带来针对性网络钓鱼风险

尽管私钥没有泄露，但姓名、地址和加密货币硬件钱包购买记录的结合，使此次数据泄露尤为敏感。硬件钱包客户数据库实际上可以识别出可能持有数字资产的个人。这些信息可能被利用来发送包含真实订单详情的个性化网络钓鱼消息，使欺诈通信更具迷惑性。此次事件延续了此前涉及硬件钱包客户信息的多起泄露事件，凸显出安全性通常很高的自托管产品在实物配送环节持续存在的漏洞。虽然硬件钱包能够将私钥与连接互联网的系统隔离，但设备购买和配送流程仍依赖包含个人身份信息的传统电子商务基础设施。

SafePal 实施安全修复措施和客户通知流程

SafePal 表示，已下线超过 30 个与恶意活动相关的网络钓鱼网站，并已逐一通知受影响客户。该公司还推出了一项验证工具，允许客户使用订单号和收货国家查询自己的订单是否受到影响。对于 SafePal 约 39,800 名受影响客户而言，由于此次数据泄露并未危及助记词和私钥，直接的加密货币安全威胁似乎相对有限。然而，长期风险有所不同：攻击者现在可能掌握了足够真实的个人和购买信息，能够令人信服地冒充 SafePal，并诱骗客户主动泄露这些关键凭证。

常见问题

8 月 16 日披露的 SafePal 数据泄露事件暴露了哪些信息？

此次泄露涉及约 39,798 名客户的姓名、邮箱地址、收货地址、电话号码和购买详情，这些客户在 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单。SafePal 确认，钱包助记词、私钥、密码、支付卡信息、银行账户详情和政府身份证明文件均未遭到泄露。

是什么导致了 SafePal 客户数据泄露？

此次泄露是由订单跟踪插件中的授权漏洞导致的，该漏洞在特定条件下允许未经授权的人员访问其他客户的信息。SafePal 表示，该漏洞已修复，并已实施额外的访问控制措施。另一个独立的数据保留配置问题还导致部分较早的客户记录保留时间超过预期。