SafePalは、注文追跡プラグインの不具合により、攻撃者が約39,798人の顧客の個人データにアクセスできたことを明らかにした。対象には氏名、メールアドレス、配送先住所、電話番号、購入詳細が含まれる。

露出したデータには自宅住所と暗号資産を保有している証拠が含まれており、レンチアタックの増加と相まって物理的な標的化のリスクを高めている。Chainalysisの記録では、2026年上半期に46件の暴力的な事件が発生し、3,000万ドル超が盗まれており、今年は記録的なペースで推移している。

SafePalは、漏洩の影響を受けたウォレット企業が相次ぐ中、その一員に加わった。Trezorでは最近、配送パートナーShipMonkでの漏洩により約13,700人の顧客データが露出し、Ledgerの2020年の漏洩では約272,000人の顧客情報が流出して身代金要求の脅しにつながった。

Bitcoinおよび暗号資産ウォレットメーカーのSafePalは土曜日、注文追跡プラグインの不具合により、攻撃者が約39,798人の顧客の個人情報に不正アクセスできたと発表した。ハードウェアウォレット企業のユーザーが物理的な標的化のリスクにさらされる漏洩は、これが最新の事例となる。

SafePalはXに投稿した声明の中で、露出したデータの対象は2025年3月2日から2026年4月11日までの間（13か月あまりの期間）に注文を行った顧客であり、氏名、メールアドレス、配送先住所、電話番号、購入詳細が含まれると説明した。

同社によれば、ウォレットの認証情報は影響を受けておらず、シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座情報、クレジットカード番号、公的身分証明書は対象外だったという。SafePalのウォレットはノンカストディアル方式のため、秘密鍵と資産を管理するのは同社ではなくユーザー自身であり、こうした顧客記録は通常、ウォレット製品そのものではなく注文処理システムに保管される。BinanceとAnimoca Brandsが出資するノンカストディアルウォレットスイートで、3,000万人のユーザーに利用されているというSafePalは、問題を修正し、影響を受けた顧客にメールで通知し、ユーザーが自身の情報漏洩の有無を確認できるページを設置したと述べた。

Beware of phishing attempts! 👇 Disclosure: SafePal is a YZiLabs portfolio company (minority investor). — CZ 🔶 BNB (@cz_binance) August 16, 2026

資金が直接盗まれたわけではないものの、氏名、自宅住所、暗号資産保有の証拠が組み合わさった情報は、犯罪者が富裕層の保有者を特定する手がかりになり得る。この懸念は、いわゆるレンチアタックの増加とともに強まっている。レンチアタックとは、被害者が暗号資産を引き渡すまで脅されたり暴行を受けたりする被害形態だ。

Chainalysisは、2026年上半期に46件の暴力的な事件を記録し、3,000万ドル超が盗まれたと報告。今年は観測史上最悪となる見通しだとしており、住居侵入型の犯行が誘拐を上回る割合が増えているという。

SafePalは、顧客情報が漏洩で露出したウォレット企業の範囲に新たに加わることとなった。数日前には、Trezorが配送パートナーShipMonkでの侵害により約13,700人の顧客データが流出したと発表したばかりだ。最も代表的な前例は依然としてLedgerであり、2020年の約272,000人の顧客情報流出はフィッシング攻撃の波を引き起こし、一部の被害者には暴力を示唆する身代金要求が届いた。

今回の漏洩は、セルフカストディユーザーにとって緊張が続く時期に重なった。ユーザーらは依然、ファームウェアのエントロピー欠陥を突いて長期間休眠状態にあったBitcoinを流出させ、業界全体の損失を1億3,000万ドル規模に押し上げたColdcardの攻撃の影響に向き合っている。

SafePalはコミュニティに謝罪し、調査の進展に合わせてブログで最新情報を公開していくと述べた。