SafePal、4万人の顧客に影響する注文データ侵害を確認 ウォレット認証情報と資金は流出せず
重要ポイント
- •SafePalの注文追跡プラグインにあった認可不備により、2025年3月2日から2026年4月11日までに注文した約39,798人の顧客の注文情報へ無断アクセスが可能になった。
- •流出したのは氏名、メールアドレス、配送先住所、電話番号、購入詳細に限られ、シードフレーズ、秘密鍵、ウォレットパスワード、クレジットカード番号、銀行口座情報、政府発行の身分証番号は保全されていた。
- •SafePalは、今回の事案がウォレットや顧客資金へのアクセスを損なったことを示す証拠はないとしている。
- •影響を受けた顧客には8月16日に個別メールで通知され、専用の確認ページとサポート窓口が設けられた。
- •同社は脆弱性を修正し、第三者セキュリティ企業による検証と注文処理インフラのレビューを依頼し、個人情報の保有期間を90日に短縮し、30件超の不正サイトとフィッシングリンクを削除した。
SafePalは、2018年にBinanceの投資部門Binance Labsから早期支援を受けた暗号資産のハードウェアおよびソフトウェアウォレットソリューション提供企業であり、注文追跡プラグインの認可不備に起因するセキュリティインシデントを確認した。顧客の注文情報に関連するプラグインに存在したこの脆弱性により、特定の条件下で注文記録への無断外部アクセスが可能になっていた。2025年3月2日から2026年4月11日までに注文した約39,798人が影響を受けた。この種の認可失敗は、一般にbroken access controlとして知られ、ウェブアプリケーションのセキュリティリスクをまとめた業界で最も引用されるOWASP Top 10において、2021年版以降、最上位に挙げられている。
同社の開示によると、流出したデータには氏名、メールアドレス、配送先住所、電話番号、購入詳細が含まれる。SafePalは、より機微な情報は侵害に含まれていないと強調しており、シードフレーズ、秘密鍵、ウォレットパスワード、クレジットカード番号、銀行口座情報、政府発行の身分証番号はいずれも保全されていたと説明した。さらに、今回の事案によってSafePalウォレットや顧客資金へのアクセスが損なわれたことを示す証拠はないとしている。
影響を受けた全員には8月16日、security@safepal.com から個別にメール通知が送られ、件名には注文情報が影響を受けたことが示されていた。SafePalはまた、注文IDと配送先の国を使って利用者が自身の状況を確認できる専用の確認ページを公開した。こうした独立した確認ページは、通知メール自体が詐欺師に模倣されやすいため、漏えい対応における標準的なフィッシング対策となっている。
Dear community, While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers. The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal), August 16, 2026
会社の対応と推奨される注意事項
発覚後、SafePalは認可不備を修正し、追加のセキュリティ対策を導入した。独立した第三者セキュリティ企業にも、修正の妥当性確認と、より広範な注文処理インフラ全体の包括的なレビューが委託されている。同社はまた、関連する物流・フルフィルメントパートナーにも連絡し、問題が各社システム内でさらに広がっていないことを確認した。
さらに、影響を受けた環境内での個人情報の保有期間は、適用される法的要件の範囲内で90日に短縮され、影響を受けた顧客が直接かつ記録付きの支援を受けられるよう専用サポート窓口が設置された。これらの継続対応の進捗は、今後も公式チャネルを通じて公表される予定だ。SafePalはまた、詐欺活動に関連する30件超の不正サイトとフィッシングリンクを特定・削除し、新たな脅威の監視を継続している。
同社は、流出した注文詳細が、偽の返金提案、偽のファームウェア更新要求、あるいはSafePalの購入を持ち出した電話、メール、テキストメッセージ、郵便、予期しないハードウェア配送などを通じたカスタマーサポートのなりすましといった標的型ソーシャルエンジニアリングに悪用される可能性があると警告した。
顧客には、不審な連絡には注意し、予期しないメッセージ内のリンクをクリックしたりQRコードを読み取ったりせず、リダイレクトに従うのではなく公式サイトのアドレスを手動で入力するよう助言している。SafePalは、いかなる通信手段を通じても、いかなる状況でもシードフレーズ、秘密鍵、パスワードを求めることはないと改めて強調した。
不審な連絡に応じてウォレット認証情報を開示した可能性がある利用者は、当該ウォレットを侵害済みとみなし、公式のSafePalデバイスまたはアプリケーションを使って新しいウォレットを作成し、資産を直ちに移し、公式サポート窓口を通じて同社に連絡する必要がある。
The post SafePal Confirms Order Data Breach Impacting 40,000 Customers, Wallet Credentials And Funds Remain Uncompromised appeared first on Metaverse Post .
