暗号資産ハードウェアウォレットのプロバイダーであるSafePalは、2025年3月2日から2026年4月11日までに注文を行った約39,798人の顧客に影響するデータ流出事件を公表しました。同社によると、脆弱性が悪用され、注文情報に不正アクセスされた一方、現在、脅威アクターが盗まれたデータをサイバー犯罪フォーラムで販売しようとしていると主張しています。
影響を受けたデータには、顧客の氏名、メールアドレス、配送先住所、電話番号、購入情報が含まれます。SafePalは、調査の結果、ウォレットのリカバリーフレーズ、秘密鍵、パスワード、銀行口座情報、銀行カード番号、政府発行の身分証明書、その他の認証情報が流出した証拠は見つかっていないと確認しました。
注文追跡の脆弱性により不正アクセスが発生
SafePalは、7月に開始した注文処理システムの包括的なレビューと再構築の過程で問題を発見しました。同社は、あるプラグインの注文追跡機能における認可の不備により、他の顧客の注文情報にアクセスできる状態になっていたと結論付けました。
同社は2026年5月初旬に事件と一致する報告を受けていましたが、当初は個別の事例として扱い、その後、正式なセキュリティ調査へとエスカレーションし、追加の保護対策を導入しました。電子商取引システムの各コンポーネント、外部連携、物流サービスパートナーが相互に関連していたため、SafePalは複数の可能性を直ちに排除することができなかったと説明しています。
調査中、同社は別途、設定上のエラーによってデータクリーンアップ処理が2025年9月から2026年4月まで正常に機能していなかったことも発見しました。その結果、2025年3月分の注文データが保持されていました。同社はこの不具合を修正し、追加のセキュリティ対策を実施したほか、外部のセキュリティ企業と協力して修正内容を検証し、注文処理システムをより広範に見直しています。
顧客にとって実際に何が変わるのか？
SafePalは8月16日、影響を受けたすべての顧客に対し、注文情報が影響を受けたことを知らせる件名のメールを送信しました。また、顧客が注文番号と配送国を入力し、その注文のデータが盗まれた情報に含まれているか確認できるオンライン検証ツールを公開しました。
同社は、ファームウェアの更新、製品の返品、返金、法的調査に関するフィッシングメッセージや標的型電話にデータが悪用される可能性について警告しています。顧客からは5月以降、フィッシングメッセージや電話の報告が寄せられており、その中にはSafePal X1ウォレットで脆弱性が発見されたとして、ファームウェアの更新をインストールするよう求めるメッセージも含まれていました。同社は、この事件に関連する30件以上の詐欺サイトやリンクを削除したと述べています。
資産を移動したり、ウォレットを交換したりする必要はあるのか？
SafePalは、注文情報が流出した顧客は、この流出だけを理由にデバイスを交換したり、暗号資産を移動したりする必要はないと説明しています。ただし、フィッシングメッセージに応じてリカバリーフレーズや秘密鍵を共有した場合は、ウォレットが侵害されたものとみなし、信頼できるSafePalデバイスまたは公式アプリを使用して、新しいウォレットへ資産を移動するよう推奨しています。
同社は、影響を受けた注文の個人データをアクティブな電子商取引サーバーから削除した一方、法執行機関の捜査で使用される可能性に備え、暗号化されたオフラインコピーを保持していると述べています。BleepingComputerは、攻撃者がデータを保有していることや、販売掲示が本物であることを独自に確認していません。ただし、告知に記載された注文期間と顧客数は、SafePalが公表した内容と一致しています。