Пентест WEB: практический курс для начинающих
Представители SafePal, производителя аппаратных криптовалютных кошельков, объявили об инциденте безопасности, из-за которого в открытом доступе оказались личные данные почти 40 тысяч клиентов. Утечка затронула тех, кто оформлял заказы с 2 марта 2025 года по 11 апреля 2026 года, — всего 39 798 человек.
В открытый доступ попали имена, физические адреса и контактные данные покупателей, что повышает риск фишинга и попыток злоумышленников выдать себя за представителей компании. При этом, по заявлению представителей SafePal, приватные ключи, сид-фразы, пароли, банковские реквизиты, номера платежных карт и данные государственных удостоверений личности затронуты не были, то есть сами криптоактивы пользователей остаются в безопасности.
В SafePal сообщили в воскресенье, что обнаружили «ошибку авторизации» в плагине для отслеживания заказов клиентов. Эта уязвимость, по всей видимости, позволяла злоумышленникам просматривать чужие заказы.
В компании подчеркнули, что базовая безопасность самих кошельков не пострадала. Тем не менее в SafePal предупредили: если ты ранее сообщал свои приватные ключи или сид-фразу в фишинговом письме, по телефону или в сообщении, считай свой кошелек скомпрометированным и переведи активы на новый.
Инцидент произошел вскоре после взлома аппаратных кошельков Coldcard, в ходе которого злоумышленник, по имеющимся данным, похитил как минимум 120 миллионов долларов. Хотя эти два случая не обязательно говорят о системной уязвимости аппаратных кошельков как таковых, они показывают, что ни одно решение для хранения криптовалюты не гарантирует полной безопасности, и подтверждают важность диверсификации как криптоактивов, так и кошельков для их хранения.
В компании заявили, что уже устранили уязвимость и внедрили дополнительные меры безопасности. Всех пострадавших клиентов уведомили по электронной почте с адреса security@safepal.com в воскресенье. Для проверки исправления уязвимости и аудита систем обработки заказов привлекли независимого специалиста по информационной безопасности.
Кроме того, в SafePal объявили, что впредь будут хранить персональные данные клиентов в системе обработки заказов не дольше 90 дней с момента получения. В компании также сообщили, что выявили и заблокировали более 30 мошеннических сайтов и фишинговых ссылок, связанных с этой утечкой.
Клиенты могут проверить с помощью специального инструмента на сайте SafePal, попали ли их данные в утечку.
Этот инцидент произошел на фоне роста числа wrench attacks, грабежей и краж у владельцев криптовалюты. Злоумышленники часто применяют насилие или похищают людей. Утечка адресов проживания клиентов поставит под угрозу их безопасность.
