«Ваші приватні ключі та криптоактиви у безпеці, але ми виявили вразливість у плагіні відстеження замовлень», — таке повідомлення отримали десятки тисяч клієнтів SafePal. Виробник апаратних гаманців підтвердив, що помилка авторизації відкрила доступ до бази покупців.
Інцидент не зачепив самі гаманці, але злив у мережу достатньо інформації для прицільного фішингу та соціальної інженерії.
Що саме потрапило до третіх рук
За офіційними даними, витік зачепив 39 798 користувачів, які оформлювали замовлення з 2 березня 2025 року по 11 квітня 2026 року. Причиною став баг у сторонньому плагіні для трекінгу посилок. Він дозволяв зловмисникам бачити чужі замовлення через просту підміну номерів у системі. Проблему посилила помилка конфігурації: автоматичне очищення не видалило старі записи вчасно.
Зловмисники отримали доступ до такої інформації:
- Повні імена клієнтів.
- Адреси електронної пошти та номери телефонів.
- Точні фізичні адреси доставки та деталі куплених пристроїв.
SafePal наголошує, що seed-фрази, паролі, приватні ключі та номери банківських карток не скомпрометовані. Доступу до криптоактивів хакери не отримали.
Фішинг замість прямого злому
Гроші залишаються на пристроях, тому головна загроза — використання злитої бази для таргетованих атак. Маючи імена, телефони та точні дані про покупку, скамери діють максимально переконливо.
Компанія вже виявила і видалила понад 30 підроблених сайтів, які імітували офіційну підтримку. Найбільш імовірні вектори атак на користувачів:
➡️ Дзвінки або SMS від нібито «техпідтримки» з вимогою оновити прошивку гаманця. ➡️ Фальшиві листи про необхідність повернути пристрій або отримати компенсацію. ➡️ Розсилка фізичних посилок із флешками чи інструкціями з підробленими QR-кодами, які ведуть на фіктивні сайти.
Щоб запобігти новим витокам, SafePal залучив незалежних аудиторів для перевірки логістичних систем та скоротив термін зберігання персональних даних до 90 днів.
Апаратні гаманці під прицілом
Це не перший злив у ніші холодного зберігання. Лише кількома днями раніше, 13 серпня, про витік даних понад 13 000 клієнтів повідомив Trezor, коли хакери зламали логістичного партнера ShipMonk.
Апаратні гаманці мають структурну вразливість — необхідність фізичної доставки. Криптографія захищає активи, але передача домашньої адреси та номера телефону стороннім логістичним плагінам створює ризик деанонімізації холдерів.
Що робити власникам SafePal
Якщо ви замовляли пристрій у вказаний період, компанія рекомендує дотримуватися кількох базових правил безпеки:
- Не переказуйте активи на інші адреси лише через витік даних замовлення — самі гаманці не зламані.
- Перевірте свій номер замовлення на спеціальній сторінці верифікації від SafePal.
- Ігноруйте будь-які вхідні дзвінки «від імені компанії» — справжні співробітники не телефонують клієнтам першими.
- Ніколи не передавайте свою seed-фразу або приватний ключ, навіть якщо вас називають на ім'я та знають вашу адресу.
Якщо ви вже ввели сід-фразу на підозрілому ресурсі, гаманець скомпрометований. Створіть новий через офіційний додаток і негайно переведіть туди весь залишок балансу.
Висновки
Слабкою ланкою знову виявився не блокчейн, а логістична інфраструктура. Баг у системі трекінгу не дає прямого доступу до грошей, але значно спрощує роботу фішерам. 🤷