SafePal 披露，订单跟踪插件中的一个漏洞使攻击者得以获取约 39,798 名客户的个人数据，包括姓名、电子邮箱地址、收货地址、电话号码和购买详情。

泄露的数据同时包含家庭住址和加密货币持有证明，随着“扳手攻击”日益增多，这加大了用户遭受人身攻击的风险。Chainalysis 的记录显示，2026 年上半年共发生 46 起暴力事件，被盗金额超过 3000 万美元，使今年有望成为创纪录的一年。

SafePal 已加入受数据泄露影响的钱包公司行列。Trezor 近期的 ShipMonk 泄露事件暴露了约 13,700 名客户的数据，而 Ledger 在 2020 年约 272,000 名客户的信息泄露则引发了勒索威胁。

比特币及加密货币钱包制造商 SafePal 周六表示，订单跟踪插件中的一个漏洞使攻击者未经授权地访问了约 39,798 名客户的个人信息，这是最新一起令硬件钱包公司用户面临人身攻击风险的泄露事件。

SafePal 在 X 上发布的声明中表示，被泄露的数据涵盖 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的客户——这一时间窗口超过 13 个月——包括姓名、电子邮箱地址、收货地址、电话号码和购买详情。

该公司表示，钱包凭据本身未受影响，并称助记词、私钥、钱包密码、银行信息、支付卡号码和政府身份证件均未涉及。由于 SafePal 的钱包为非托管型，私钥和资金由用户而非公司持有；此类客户记录通常存储在订单履行系统中，而非钱包产品本身。SafePal 是一家获得 Binance 和 Animoca Brands 支持的非托管钱包套件，自称拥有 3000 万用户。该公司表示已修复该问题，已通过电子邮件通知受影响客户，并创建了一个页面供用户查询自己是否受到影响。

Beware of phishing attempts! 👇 Disclosure: SafePal is a YZiLabs portfolio company (minority investor). — CZ 🔶 BNB (@cz_binance) August 16, 2026

尽管没有资金被直接盗取，但姓名、家庭住址与加密货币持有证据相结合，正是能够帮助犯罪分子识别高净值持有者的那类数据。随着所谓“扳手攻击”（即受害者受到威胁或殴打，直至交出其加密货币）的兴起，这种担忧进一步加剧。

Chainalysis 记录了 2026 年上半年发生的 46 起暴力事件，被盗金额超过 3000 万美元，并表示今年有望成为有记录以来最严重的一年，入室袭击事件正日益超过绑架事件。

SafePal 如今加入了客户信息因泄露而暴露的钱包公司行列。就在几天前，Trezor 表示其物流合作伙伴 ShipMonk 遭遇的入侵损害了约 13,700 名客户的数据。最典型的前车之鉴仍是 Ledger，其 2020 年约 272,000 名客户详细信息的泄露引发了一波钓鱼攻击，部分用户还遭到以暴力相威胁的勒索。

此次事件发生的时机，令仍在应对 Coldcard 漏洞利用事件的自托管用户更加不安；该事件通过固件熵缺陷盗取了长期沉睡的比特币，使全行业损失接近 1.3 亿美元。

SafePal 向其社区致歉，并表示随着调查的继续，将在其博客上发布最新进展。