暗号資産ウォレットSafePalが、約4万人の顧客注文情報が流出するデータ侵害を明らかにした。
流出したのは2025年3月2日から2026年4月11日までに注文を行った39,798人の氏名、住所、連絡先情報である。数千人の顧客の注文詳細が含まれるものの、すべての秘密鍵、シードフレーズ、および暗号資産は安全な状態にあるという。
SafePalは暗号資産ハードウェアウォレットの提供者であり、今回のセキュリティ侵害で流出した個人情報はフィッシングやなりすましのリスクに曝される可能性がある。一方で、資金やパスワード、ウォレットの秘密鍵には被害は及んでいないと強調した。
なお、本件は先日報じられたColdcardハードウェアウォレットのハッキング事件に続くものであり、攻撃者はビットコイン約1億2,000万ドル相当を盗んだと報告されている。これらの事件はハードウェアウォレットの根本的な弱点を示すものではないが、暗号資産の保管にリスクがゼロではないことを示している。
何が起きたのか？
SafePalは日曜に、顧客の注文を追跡するプラグインに認証の欠陥があり、攻撃者が他の顧客の注文情報を閲覧できた可能性を指摘した。この欠陥は配送追跡システムで注文番号を変更するだけで別の顧客のレシートや配送詳細が閲覧可能になる状況に例えられる。影響範囲は2025年3月2日から2026年4月11日の注文者39,798人に及ぶ。
SafePalはウォレットの基本的なセキュリティは保たれているとし、シードフレーズ、秘密鍵、銀行のパスワード、口座情報、決済カード番号、政府発行のIDは影響を受けていないと説明している。ただし、秘密鍵やシードフレーズをフィッシング等で共有したユーザーはウォレットが侵害されたものと見なし、資産を新しいウォレットに移すよう警告している。
SafePalの対応
同社は脆弱性の修正および追加のセキュリティ対策を導入したと発表した。被害顧客にはsecurity@safepal.comから通知メールを送り、独立した第三者セキュリティ企業に監査と注文処理システムのレビューを依頼している。
さらに、注文処理システムでの顧客個人データ保持期間を収集日から90日間に制限し、侵害に関連する30以上の詐欺サイトやフィッシングリンクも特定して削除したことを明かした。