SafePal potwierdza wyciek danych 39 798 klientów

SafePal potwierdził, że błąd autoryzacji we wtyczce śledzenia zamówień pozwolił na nieautoryzowany dostęp do danych około 39 798 klientów. Incydent dotyczył zamówień złożonych od 2 marca 2025 r. do 11 kwietnia 2026 r. Wśród udostępnionych informacji znalazły się imiona i nazwiska, adresy e‑mail, numery telefonów, adresy dostawy oraz szczegóły zamówień. Firma podała, że frazy seed, klucze prywatne, hasła do portfeli oraz dane płatnicze nie zostały ujawnione. Powiadomienia do poszkodowanych zostały wysłane 16 sierpnia 2026 r. z adresu [email protected].

Przyczyną był problem z uprawnieniami w funkcji śledzenia zamówień powiązanej z zewnętrzną wtyczką, co umożliwiło dostęp do zapisanych danych zamówień. SafePal wskazał, że pozyskane informacje mogą być wykorzystane do ukierunkowanych ataków phishingowych i oszustw, obejmujących fałszywe e‑maily, wiadomości SMS, telefony podszywające się pod obsługę klienta, oferty zwrotu środków, żądania rzekomych aktualizacji oprogramowania układowego, podrobione strony internetowe i kody QR oraz fałszywe przesyłki.

W reakcji SafePal usunął wadliwą funkcję i wprowadził dodatkowe zabezpieczenia. Do weryfikacji poprawki i przeprowadzenia audytu systemów obsługujących zamówienia zaangażowano niezależną firmę ds. cyberbezpieczeństwa. Okres przechowywania danych osobowych w środowisku związanym z zamówieniami został skrócony do 90 dni, o ile prawo nie wymaga dłuższego terminu. Firma uruchomiła specjalny kanał wsparcia dla poszkodowanych, weryfikuje systemy zewnętrznych partnerów logistycznych i fulfillmentowych oraz usunęła ponad 30 fałszywych stron i linków powiązanych z incydentem.

SafePal opublikował stronę pozwalającą klientom sprawdzić, czy konkretne zamówienie zostało objęte wyciekiem, poprzez podanie numeru zamówienia i kraju dostawy. Firma zaapelowała, aby nigdy nie ujawniać frazy seed, klucza prywatnego ani hasła do portfela, nawet jeśli prośba wydaje się pochodzić od pracownika SafePal. W komunikacie podkreślono: „Ten incydent nie dotyczył Twojej frazy seed, kluczy prywatnych, hasła do portfela ani innych danych uwierzytelniających portfela, informacji o rachunku bankowym, numerów kart płatniczych ani dokumentów wydanych przez państwo.”

SafePal przekazał, że użytkownicy nie muszą automatycznie przenosić aktywów cyfrowych tylko z powodu wycieku danych zamówienia. Jeśli jednak ktoś ujawnił frazę seed lub klucz prywatny w odpowiedzi na podejrzaną wiadomość lub na fałszywej stronie, firma zaleca uznać taki portfel za skompromitowany i przenieść środki do nowego portfela utworzonego na zaufanym urządzeniu lub w oficjalnej aplikacji.

Incydent pojawia się w kontekście innych naruszeń dotyczących użytkowników sprzętowych portfeli kryptowalutowych. Wcześniej naruszenie u partnera logistycznego innego producenta dotyczyło danych 13 689 klientów, a po ataku na producenta Coldcard długoterminowi posiadacze przenieśli około 210 000 BTC.

SafePal nadal zbiera zgłoszenia o podejrzanej aktywności i monitoruje sytuację; firma zapowiedziała, że będzie informować klientów o wynikach audytu oraz o znanych przypadkach oszustw.