Dostawca sprzętowych portfeli kryptowalutowych SafePal potwierdził wyciek danych dotyczący około 39 798 klientów, po tym jak atakujący wykorzystali lukę w autoryzacji we wtyczce do śledzenia zamówień powiązanej z informacjami o zamówieniach klientów.
Ujawnione dane obejmowały imiona i nazwiska, adresy e-mail, adresy wysyłki, numery telefonów oraz szczegóły zakupów klientów, którzy złożyli zamówienia w okresie od 2 marca 2025 roku do 11 kwietnia 2026 roku. SafePal twierdzi, że incydent nie ujawnił fraz seed, kluczy prywatnych, haseł do portfeli, numerów kart płatniczych, danych bankowych ani dokumentów tożsamości wydanych przez państwo.
Co się stało
Według SafePal wyciek spowodowała luka w autoryzacji w funkcji śledzenia zamówień, używanej przez wtyczkę powiązaną z informacjami o zamówieniach klientów. W określonych warunkach luka umożliwiała nieautoryzowany dostęp do danych zamówienia innego klienta. SafePal twierdzi, że po wykryciu naprawił problem i dodał dodatkowe zabezpieczenia.
Dane dotyczą klientów, którzy zamawiali sprzętowe portfele SafePal w okresie obejmującym ponad rok. SafePal powiadomił poszkodowanych klientów e-mailem 16 sierpnia 2026 roku, używając tematu wiadomości „[Important] Your SafePal Order Information Has Been Affected.”
Firma utworzyła również specjalną stronę poświęconą incydentowi i ochronie przed oszustwami, na której klienci mogą sprawdzić, czy zostali dotknięci, podając numer zamówienia i kraj wysyłki.
Jakie dane zostały ujawnione
Naruszenie dotyczyło informacji o klientach związanych z zamówieniami, w tym:
- imion i nazwisk
- adresów e-mail
- numerów telefonów
- adresów wysyłki
- szczegółów zakupów
SafePal podkreślił, że sam portfel nie został naruszony. Firma poinformowała, że incydent ograniczył się do wtyczki do śledzenia zamówień i był niezależny od systemów portfela SafePal. Stwierdziła też, że nie ma dowodów na to, by incydent naruszył dostęp do portfeli użytkowników lub środków.
Ta różnica ma znaczenie, ale nie sprawia, że naruszenie jest nieszkodliwe.
W przypadku użytkowników sprzętowych portfeli połączenie imienia i nazwiska, numeru telefonu, adresu i historii zakupów może być wysoce wrażliwe. Wskazuje osoby, które mogą posiadać aktywa kryptowalutowe, i pokazuje, gdzie fizycznie mogą otrzymywać produkty związane z portfelami.
Dlaczego to niebezpieczne
Lista klientów portfela kryptowalutowego różni się od zwykłego wycieku z e-sklepu.
Jeśli atakujący wiedzą, że ktoś kupił sprzętowy portfel, mogą założyć, że ta osoba może posiadać aktywa cyfrowe. Takie informacje można wykorzystać do ukierunkowanego phishingu, oszukańczych telefonów, fałszywych aktualizacji firmware’u, fałszywych wiadomości o zwrocie środków, oszustw związanych z wymianą urządzenia, a nawet do zastraszania fizycznego.
SafePal ostrzegł poszkodowanych użytkowników, aby spodziewali się bardziej wyrafinowanych prób phishingu i podszywania się, w tym fałszywych rozmów telefonicznych, e-maili, SMS-ów, listów, ofert zwrotu środków, fałszywych wiadomości od wsparcia, złośliwych stron internetowych i fałszywych próśb o aktualizację firmware’u.
Ryzyko nie ogranicza się do oszustw w sieci. Decrypt zwrócił uwagę, że wycieki obejmujące imiona i nazwiska, numery telefonów i adresy fizyczne użytkowników portfeli kryptowalutowych budzą obawy o fizyczne namierzanie, zwłaszcza że liczba ataków na posiadaczy kryptowalut wzrosła.
Portfele i środki nie są głównym problemem
Główny przekaz SafePal jest taki, że klucze prywatne i frazy seed nie zostały ujawnione.
Jest to istotne, ponieważ SafePal jest dostawcą portfeli niekastodialnych. Firma twierdzi, że nie przechowuje ani nie gromadzi fraz seed, kluczy prywatnych, haseł do portfeli ani innych poświadczeń portfela.
Atakujący nie muszą jednak bezpośrednio kraść kluczy prywatnych, jeśli potrafią nakłonić użytkowników do ich wydania.
Realistyczna wiadomość phishingowa może twierdzić, że:
- Twój portfel wymaga aktualizacji zabezpieczeń
- Twoje urządzenie musi zostać wymienione
- Twoje zamówienie zostało dotknięte incydentem i wymaga weryfikacji
- Twoje aktywa są zagrożone
- musisz podać frazę odzyskiwania, aby zabezpieczyć środki
- wsparcie SafePal musi zweryfikować Twój portfel
Wszystkie te wiadomości należy traktować jako oszustwa.
SafePal jasno oświadcza, że nigdy nie poprosi użytkowników o frazę odzyskiwania, klucz prywatny, kod PIN ani hasło do portfela.
Opóźnione wykrycie — oś czasu
Jednym z niepokojących szczegółów jest oś czasu.
Według The Block SafePal otrzymał pierwsze zgłoszenie zgodne z tym naruszeniem na początku maja, ale początkowo potraktował je jako odosobniony przypadek. Później firma eskalowała sprawę, w lipcu rozpoczęła pełny przegląd i przebudowę swojego potoku przetwarzania zamówień, a w trakcie dochodzenia potwierdziła przyczynę źródłową.
SafePal poinformował też, że zaplanowany proces czyszczenia danych przestał działać poprawnie między wrześniem 2025 a kwietniem 2026 roku z powodu błędu konfiguracji. Problem ten nie spowodował nieautoryzowanego dostępu, ale sprawił, że starsze rekordy zamówień były dostępne dłużej, niż zamierzono, co wydłużyło okres objęty incydentem aż do marca 2025 roku.
To kluczowa lekcja dla każdej firmy przetwarzającej wrażliwe dane klientów: błędy w retencji danych mogą zwiększyć promień rażenia naruszenia, nawet jeśli nie są pierwotną podatnością.
Reakcja SafePal
SafePal twierdzi, że naprawił lukę w autoryzacji, wzmocnił kontrolę dostępu i skrócił okres przechowywania danych osobowych w odpowiednim środowisku przetwarzania zamówień do 90 dni, z zastrzeżeniem wymogów prawnych.
Firma twierdzi też, że angażuje niezależną zewnętrzną firmę zajmującą się bezpieczeństwem, aby zweryfikować poprawkę i przeprowadzić szerszy przegląd swoich systemów przetwarzania zamówień. SafePal uruchomił dedykowany kanał wsparcia dla poszkodowanych klientów i twierdzi, że usunął już ponad 30 oszukańczych stron internetowych i linków phishingowych powiązanych z działalnością oszustów.
Element szerszego problemu z portfelami sprzętowymi
SafePal nie jest jedyną firmą produkującą portfele sprzętowe, której dotyczą obawy o ujawnienie danych klientów.
The Block poinformował, że ujawnienie SafePal nastąpiło po niedawnych incydentach dotyczących innych dostawców portfeli, w tym po naruszeniu u dostawcy usług wysyłkowych Trezor, które ujawniło informacje należące do blisko 14 000 klientów.
Ten schemat pokazuje, że najsłabszym punktem bezpieczeństwa portfela sprzętowego nie zawsze jest samo urządzenie.
Czasem jest nim warstwa handlowa: śledzenie zamówień, partnerzy wysyłkowi, portale wsparcia, wtyczki, systemy logistyczne, narzędzia CRM i bazy danych klientów.
Dla atakujących takie dane mogą wystarczyć do przeprowadzenia przekonujących ataków następczych.
Co powinni zrobić klienci SafePal
Poszkodowani klienci powinni zachować ostrożność, nawet jeśli środki w ich portfelach pozostają bezpieczne.
Zalecane działania:
- Nigdy nie udostępniaj swojej frazy seed ani klucza prywatnego.
Żaden prawdziwy pracownik SafePal, konsultant wsparcia, kurier, giełda ani dostawca portfela nie powinien o to nigdy prosić. - Nie klikaj linków w nieoczekiwanych e-mailach ani SMS-ach.
Zamiast korzystać z linków, wpisz ręcznie oficjalny adres strony SafePal. - Ignoruj fałszywe wiadomości o aktualizacji firmware’u.
Korzystaj wyłącznie z oficjalnych kanałów SafePal i zweryfikowanych aplikacji. - Traktuj nieoczekiwane telefony lub listy jako podejrzane.
SafePal twierdzi, że jego pracownicy nie będą inicjować rozmów telefonicznych z klientami i nigdy nie wyślą fizycznych listów z prośbą o zeskanowanie kodów QR lub wykonanie jakichkolwiek instrukcji. - Uważaj na oszustwa związane z wymianą urządzenia.
Atakujący mogą twierdzić, że Twój portfel sprzętowy wymaga wymiany, i kierować Cię na fałszywą stronę wsparcia. - Jeśli Twoja fraza seed została gdziekolwiek wpisana, natychmiast przenieś środki.
SafePal radzi użytkownikom, którzy w odpowiedzi na podejrzaną wiadomość podali lub wpisali swoją frazę odzyskiwania albo klucz prywatny, aby uznali ten portfel za przejęty, utworzyli nowy portfel i przenieśli pozostałe aktywa.
Czego powinny się nauczyć firmy
Ten incydent jest przypomnieniem, że w branży kryptowalutowej dane o zamówieniach klientów mogą być równie wrażliwe jak dane kont.
Dostawcy portfeli sprzętowych i firmy kryptowalutowe powinni traktować systemy przetwarzania zamówień jako infrastrukturę wysokiego ryzyka. Oznacza to:
- ścisłe kontrole autoryzacji dla wszystkich rekordów klientów
- regularne przeglądy bezpieczeństwa wtyczek i integracji
- krótkie okresy przechowywania wrażliwych danych o zamówieniach
- monitorowanie prób dostępu do danych innych klientów
- szybką eskalację zgłoszeń phishingu
- testy bezpieczeństwa narzędzi do śledzenia zamówień i wsparcia
- audyty dostawców i partnerów logistycznych
- jasne procesy reagowania na incydenty i ich ujawniania
Jeśli baza klientów wskazuje osoby jako posiadaczy kryptowalut, staje się celem.
Na koniec
Wyciek w SafePal nie ujawnił bezpośrednio fraz seed portfeli, kluczy prywatnych ani środków. Ujawnił jednak informacje, które mogą pomóc przestępcom w kierowaniu do użytkowników kryptowalut wysoce wiarygodnych oszustw.
Dla poszkodowanych klientów głównym zagrożeniem są teraz nadużycia następcze: phishing, fałszywe wsparcie, fałszywe aktualizacje firmware’u, oszustwa związane ze zwrotami środków, złośliwe strony internetowe i potencjalnie fizyczne namierzanie.
W kryptowalutach ochrona portfela nie wystarczy. Firmy muszą chronić także ścieżkę klienta wokół portfela — zamówienia, wysyłkę, wsparcie, wtyczki i integracje zewnętrzne — ponieważ atakujący potrafią zamienić te metadane w potężną broń.
