SafePal 是一家提供加密货币硬件与软件钱包解决方案的提供商，曾于 2018 年获得币安（Binance）旗下投资部门 Binance Labs 的早期投资。该公司已确认一起由订单追踪插件授权缺陷引发的安全事件。该漏洞位于一个与客户订单信息相关的插件中，在特定条件下允许外部未授权访问订单记录。在 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的用户中，约有 39,798 人受到影响。此类授权失效问题统称为“失效的访问控制”（broken access control），自 2021 年版以来一直位居 OWASP Top 10（业界引用最广泛的 Web 应用安全风险排名）之首。

据该公司披露，泄露的数据包括姓名、电子邮件地址、收货地址、电话号码和购买详情。SafePal 强调，此次事件未涉及更敏感的信息类别：助记词、私钥、钱包密码、支付卡号、银行账户信息以及政府颁发的身份证件号码均保持安全。该公司还表示，没有任何证据表明该事件影响了 SafePal 钱包的访问权限或客户资金。

所有受影响用户已于 8 月 16 日收到来自 security@safepal.com 的单独邮件通知，邮件主题标明其订单信息已受影响。SafePal 还发布了专门的验证页面，客户可使用订单识别号和收货国家/地区确认自身状态。此类独立验证页面是数据泄露应对中的标准防钓鱼措施，因为通知邮件本身经常被诈骗者仿冒。

Dear community, While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers. The issue has been fixed with additional security measures…

— SafePal – Crypto Wallet (@SafePal), August 16, 2026

公司回应与建议的防范措施

发现该问题后，SafePal 已修复授权缺陷并采取了补充安全措施。公司已聘请一家独立的第三方安全公司验证修复效果，并对更广泛的订单处理基础设施进行全面审查。公司还联系了相关的物流与履约合作伙伴，以确认该问题未在其系统中进一步扩散。

此外，受影响环境中个人信息的保存期限已缩短至 90 天（需符合适用的法律要求），并设立了专门的支持渠道，确保受影响客户获得直接的、可跟踪的协助。SafePal 表示，这些持续措施的进展将通过公司官方渠道公布。90 天的期限与欧盟《通用数据保护条例》（GDPR）等数据保护框架中的存储限制原则相一致，该原则要求个人数据的保存时间不得超过实现其既定目的所必需的期限。对于持续关注此事件的读者而言，值得留意的未决事项包括独立审查的结论以及后续的钓鱼网站取缔情况，该公司表示这两方面都将通过其官方渠道通报。

该公司还识别并删除了 30 多个与诈骗活动相关的欺诈网站和钓鱼链接，并持续监测新出现的威胁。

SafePal 提醒，泄露的订单详情可能被用于针对性的社会工程攻击，包括虚假退款提议、伪造的固件更新请求，以及通过电话、电子邮件、短信、实体邮件或提及 SafePal 购买记录的意外硬件寄送来冒充客服人员。

建议客户对未经请求的通信保持警惕，不要点击意外消息中的链接或扫描其中的二维码，并手动输入官方网站地址（safepal.com），而不是跟随重定向。SafePal 重申，公司在任何情况下都不会通过任何通信渠道索取助记词、私钥或密码。

如果用户在可疑联系中泄露了钱包凭证，应将受影响的钱包视为已遭入侵，使用官方 SafePal 设备或应用程序创建新钱包，立即转移资产，并通过公司官方支持渠道联系该公司。

来源：Metaverse Post