暗号資産ウォレット提供企業のSafePalは、氏名、住所、連絡先、購入データを含む約39,798人の顧客の注文情報が漏えいしたデータ侵害を公表した。

同社によると、今回の侵害はSafePalの注文追跡システムにおける認可上の欠陥が原因であり、2025年3月2日から2026年4月11日までの約13か月にわたる期間、ユーザーが他の顧客の注文情報にアクセスできる状態となっていた。この種の欠陥は「アクセス制御の不備（broken access control）」と呼ばれることが多く、認証済みユーザーが本来他のアカウントに限定されるべき記録を閲覧できる状態を招きうる。アクセス制御の不備は、ウェブアプリケーションの最重要セキュリティリスクをまとめた業界標準の一覧である「OWASP Top 10」で2021年以降、首位に位置している。

SafePalは、今回の件では暗号資産の資金、シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座や決済カードの情報、公的身分証明書の番号は漏えいしていないと述べた。

それでも同社は、特に顧客の住所や購入詳細が含まれていたことから、漏えいした情報が標的型フィッシングやなりすましの試みに悪用される可能性があると警告した。フィッシングは暗号資産セクターで最も一般的な攻撃手法の一つであり、実際の注文詳細を引用するメッセージは正当な業者からの連絡と見分けるのが通常より難しくなる。

SafePalは、脆弱性を修正し、追加のセキュリティ対策を導入したと発表した。また、本件に関連する30件を超える偽装ウェブサイトおよびフィッシングリンクを特定し、削除したとも報告した。

侵害後の対策の一環として、SafePalは注文処理システム内の顧客個人情報の保有期間を90日間のみとする計画だ。これは、個人の記録が保存される期間を制限するデータ最小化の措置である。

2018年設立のSafePalは、ハードウェアウォレットとモバイルアプリケーションで知られる暗号資産ウォレット提供企業であり、複数のブロックチェーンにまたがる幅広いデジタル資産をサポートしている。同社は2018年、取引所のベンチャー部門であるBinance Labsを通じて、Binanceから出資を受けた初のハードウェアウォレットプロジェクトとなった。

本レポートはBitcoinKEの報道に基づいている。