Виробник апаратних криптогаманців SafePal повідомив про витік персональних і замовних даних майже 40 000 клієнтів. Проблема виникла через помилку авторизації у функції відстеження замовлень, пов’язаній із відповідним плагіном.
“Ми нещодавно виявили недолік у плагіні відстеження замовлень, який призвів до несанкціонованого доступу до інформації про частину клієнтів”, — повідомила компанія.
Інцидент стосується користувачів, які оформлювали замовлення в період із 2 березня 2025 року до 11 квітня 2026 року. Серед даних, які могли опинитися у сторонніх осіб, імена клієнтів, електронні адреси, номери телефонів, адреси доставки, а також інформація про покупки та замовлення.
Водночас SafePal наголосила, що витік не торкнувся критично важливої інформації, яка безпосередньо дає доступ до криптоактивів користувачів.
“Цей інцидент не стосувався вашої seed-фрази, приватних ключів, пароля від гаманця чи інших облікових даних гаманця, інформації про банківський рахунок, номерів платіжних карток або документів, виданих державою”, — заявили в SafePal.
SafePal попередила про фішингові атаки
Компанія вже усунула вразливість і запровадила додаткові заходи безпеки. Постраждалих клієнтів SafePal повідомила окремими листами з адреси [email protected] 16 серпня.
Основним ризиком після витоку виробник вважає не безпосередню крадіжку криптовалюти, а можливе використання отриманих даних для більш переконливих фішингових і шахрайських атак.
Зловмисники можуть спробувати видати себе за представників SafePal та звертатися до користувачів через електронну пошту, телефон або SMS. Також вони можуть надсилати фальшиві повідомлення про повернення коштів, оновлення прошивки, проблеми з акаунтом або пропонувати допомогу нібито від служби підтримки.
Окрему небезпеку становлять підроблені сайти, QR-коди, листи та навіть фізичні посилки, пов’язані з реальними замовленнями клієнтів.
SafePal закликала користувачів за жодних обставин не передавати seed-фразу, приватний ключ або пароль, навіть якщо відповідний запит надходить від людини, яка представляється співробітником компанії.
Компанія також повідомила, що вже видалила понад 30 шахрайських сайтів і фішингових посилань, пов’язаних із цією активністю, та продовжує відстежувати появу нових доменів.
Для перевірки, чи зачепив витік конкретне замовлення, SafePal створила окрему сторінку, де користувачі можуть вказати номер замовлення та країну доставки.
Компанія посилює контроль за даними клієнтів
SafePal залучила незалежну компанію з кібербезпеки для перевірки виправлення вразливості та проведення ширшого аудиту систем обробки замовлень.
Крім того, виробник скоротив термін зберігання персональних даних у відповідному середовищі до 90 днів, якщо інший термін не передбачений законодавством. Також було створено окремий канал підтримки для постраждалих клієнтів, а системи сторонніх логістичних і фулфілмент-партнерів проходять додаткову перевірку.
SafePal окремо наголосила, що сам факт витоку інформації про замовлення не означає необхідності переміщувати криптоактиви на інший гаманець.
Водночас якщо користувач уже передав seed-фразу або приватний ключ після підозрілого повідомлення чи через шахрайський сайт, такий гаманець слід вважати скомпрометованим. У цьому випадку компанія рекомендує перевести залишок активів на новий гаманець, створений за допомогою надійного пристрою або офіційного застосунку SafePal.