SafePal数据泄露影响约4万人 订单插件漏洞被利用

资讯专家

加密货币硬件钱包厂商 SafePal 近日披露一起数据泄露事件，约 39,798 名客户的订单信息被窃取。攻击者利用的是其客户订单信息插件中订单跟踪功能的一个漏洞，从而访问了客户信息。

SafePal 公告显示，受影响的是在 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下过单的客户，泄露字段包括姓名、地址、邮箱、电话号码和订单详情。公司强调，此次事件不涉及助记词（seed phrase）、私钥、钱包密码、银行账户、支付卡号或政府身份证件号码。

SafePal 在 5 月收到相关报告，但起初按孤立事件处理；后续调查发现系统中的 bug 导致订单相关数据被存储的时间远超预期。7 月公司开始全面审查并重建订单处理流程，确认了根本原因。现已修复被利用的漏洞，收紧了订单信息的保留期限，识别并通知了受影响客户，同时联系合作伙伴防止问题扩散，并聘请第三方安全公司进行调查。

值得注意的是，SafePal 于当地时间周日（8 月 16 日）公开披露该事件，当天即有威胁行为者在网络犯罪论坛上宣称窃取了 SafePal 数据，声称受影响人数为 39,798 人，与 SafePal 官方披露的数字一致。

SafePal 表示已识别并下架了超过 30 个与该事件相关的欺诈网站和钓鱼链接，并将继续监控。公司建议潜在受影响用户警惕任何索要助记词或私钥的可疑通信。如果用户已经因可疑消息、网站、电话或信件输入过助记词或私钥，应立即将相关钱包视为已受损，使用可信的 SafePal 设备或官方应用创建新钱包，并尽快转移剩余资产。

如有财务损失，SafePal 鼓励客户联系并提供细节，公司已联系链上资产追踪专家。同时 SafePal 也强调，这不代表承认责任或承诺赔偿，当前重点是支持资产追回和持续调查。

热心网友3

看到这个新闻挺担心的，虽然官方说助记词和私钥没泄露，但姓名地址电话这些个人隐私信息被拿走也很麻烦，后面可能会收到各种钓鱼诈骗。大家最近如果收到自称SafePal的邮件短信，一定要多留个心眼，别点可疑链接，更别把助记词或私钥给任何人。手里有SafePal钱包的话，建议关注下官方后续通知，有条件的可以自查一下订单信息有没有异常。希望官方能真的把赔付和追查做到位，别让用户寒心。

热心网友3

看到这个新闻挺感慨的，现在连硬件钱包厂商的订单信息都能被拖库，虽然助记词和私钥没泄露算是万幸，但姓名、地址、电话这些隐私信息泄露出去也挺麻烦的，后续估计会有不少钓鱼邮件和诈骗电话找上门。 SafePal这次处理流程还算透明，从发现到修复再到公开披露，节奏比较清楚，也下了不少钓鱼链接。不过那句“不代表承认责任或承诺赔偿”有点耐人寻味，用户如果因为这次信息泄露遭受了财产损失，追责可能会比较困难。 提醒一下用SafePal的朋友，最近凡是自称官方要你验证钱包、输入助记词的，都直接拉黑吧，官方永远不会要这些。要不要把资产挪到新钱包，也建议观望一下官方后续的说明，别自己先慌。

热心网友3

感谢分享这个重要消息。虽然官方说助记词和私钥没泄露，但订单信息里的姓名、地址、电话这些也够烦人的，后续很可能会有钓鱼邮件或诈骗电话盯上这批人。大家如果近期在SafePal下过单，一定要留个心眼，任何要助记词、私钥的消息直接当骗子处理。另外那个“用可信设备重新建钱包”的建议很实在，万一真中招也能及时止损。希望SafePal后续能把赔偿和追回工作落到实处，别光发公告。