暗号資産ウォレットSafePalは、2025年3月2日から2026年4月11日にかけて注文した39,798人の顧客の氏名、住所、連絡先情報が流出するセキュリティ侵害が判明したと発表しました。
SafePalは数千人の顧客の注文詳細が流出したものの、すべての秘密鍵、シードフレーズ、暗号資産は完全に安全であると強調しています。
同社は注文を追跡するプラグインに認証の欠陥があり、この脆弱性により攻撃者が他の顧客の注文情報にアクセスできた可能性があると説明。これは店舗の配送追跡システムで注文番号を変更するだけで別顧客の配送情報が閲覧できてしまう状況に例えられています。
流出したデータには氏名、住所、連絡先が含まれ、被害者はフィッシングやなりすましのリスクに晒されていますが、銀行パスワードやウォレットの秘密鍵、シードフレーズ、政府発行のIDなどは被害を受けていません。
SafePalはこの脆弱性を修正し、セキュリティ対策を強化。すべての被害顧客に対しsecurity@safepal.comから通知メールを送信し、独立した第三者のセキュリティ企業に監査と注文処理システムのレビューを依頼しました。
また、顧客の個人データは収集日から90日間のみ保持すると公表。さらに侵害に関連する30以上の詐欺サイトやフィッシングリンクも特定し、削除済みです。
今回の事件は、先日のColdcardハードウェアウォレットのハッキング事件に続くもので、暗号資産保管におけるリスク管理の重要性を改めて浮き彫りにしています。