Витік даних SafePal: 40 000 адрес у руках зловмисників

Виробник апаратних гаманців SafePal визнав: через уразливість у сторонньому плагіні для відстеження замовлень витекли особисті дані 39 798 клієнтів. Під удар потрапили покупки, оформлені з 2 березня 2025 по 11 квітня 2026 року. Криптовалюта, приватні ключі та сід-фрази не постраждали. Але у відкритий доступ потрапило те, про що часто забувають: імена, адреси доставки, телефони, email — і саме в цьому головна загроза, яку легко недооцінити.

Що сталося

У плагіні для обробки замовлень, який SafePal використовував як стороннє рішення, виявилася уразливість авторизації. Через помилку в логіці перевірки прав запит до API міг повернути дані чужого замовлення. Ця вразливість існувала з 2 березня 2025 по 11 квітня 2026 року — чотирнадцять місяців. Компанія публічно розкрила те, що сталося, 16 серпня 2026 року.

Принципова деталь, яку легко пропустити: за даними блокчейн-дослідників, перші скарги на фішинг від постраждалих клієнтів надходили ще навесні. Blockchain investigator Specter підтвердив: кілька інцидентів навесні та влітку, ймовірно, пов’язані саме з цим витоком. Між усвідомленням проблеми та публічним розкриттям минуло кілька місяців.

Що витекло, а що ні

Чому адреса небезпечніша за пароль

На перший погляд здається: «крипта ціла — отже, все гаразд». Це поширена помилка. У криптосередовищі фізична адреса власника апаратного гаманця цінується дорожче, ніж викрадений пароль від біржі. Фахівці з безпеки називають це «атакою з гайковим ключем» (wrench attack): знаючи, що за конкретною адресою живе власник SafePal, зловмисник може спробувати отримати доступ до коштів через фізичний примус — це простіше, ніж зламувати криптографію.

Водночас зв’язка «ім’я + телефон + email + бренд гаманця + тип пристрою» — це готова база для цілеспрямованого фішингу. Лист «ваш SafePal потребує оновлення прошивки, введіть сід-фразу для підтвердження» сам по собі переконливий. Якщо його ще й адресовано на ім’я та згадано точну модель вашого пристрою із замовлення — відрізнити підробку від справжнього повідомлення стає значно складніше.

Як SafePal реагував

• Закрив уразливість і найняв незалежну компанію для аудиту виправлення.
• Повідомив усіх 39 798 постраждалих клієнтів електронною поштою.
• Видалив понад 30 фішингових сайтів, створених на основі витоку.
• Запровадив нову політику: зберігати персональні дані в системі замовлень не довше 90 днів.
• Опублікував інструмент самоперевірки — можна ввести email і дізнатися, чи були ваші дані розкриті.

Що робити прямо зараз

1. Перевіртеся через офіційний інструмент на сайті SafePal. Уразливість стосується лише замовлень із березня 2025 по квітень 2026.
2. Будь-яке повідомлення «від SafePal» — привід для обережності. Лист, SMS або дзвінок із проханням перейти за посиланням чи підтвердити ключ — фішинг, незалежно від того, наскільки офіційно виглядає адреса відправника.
3. Сід-фразу не повідомляйте нікому й ніколи. Ні «підтримці», ні «системі верифікації», ні «оновленню прошивки» — ні за якого сценарію.
4. Оцініть фізичну уразливість. Якщо ви публічно відомі як криптоінвестор, наявність вашої домашньої адреси в базі — самостійний ризик, що виходить за межі цифрової безпеки.
5. Увімкніть двофакторну аутентифікацію всюди, де ще не ввімкнули: біржі, email, месенджери.

Погляд редакції

Ролі тут розподілені так, що варто назвати їх прямо. SafePal ухвалив рішення використовувати сторонній плагін для обробки замовлень — розумний бізнес-вибір, що звільняє компанію від необхідності підтримувати власну інфраструктуру. Покупець гаманця нічого не знав про цей плагін, не міг його перевірити й не брав участі у виборі того, як довго його поштова адреса зберігатиметься в чужій системі. Він виявився пасивним об’єктом чужого архітектурного рішення — і дізнався про це постфактум.

Чотиримісячна пауза між першими фішинговими скаргами та публічним розкриттям говорить дещо про те, що бралося до уваги, а що ні. Репутаційні ризики для компанії зважувалися; фізичні ризики для людей, чиї домашні адреси вже хтось використовував, — ні. Апаратний гаманець чудово захищає приватний ключ. Питання в тому, хто і як захищає дані навколо цього ключа, — і відповідь на нього користувач зазвичай отримує вже після того, як щось пішло не так.

Підсумок

Криптовалюта постраждалих клієнтів SafePal у безпеці. Але 39 798 імен, адрес і телефонів уже в руках невідомих, і саме цей набір активно використовується для фішингових кампаній. Якщо ви робили замовлення в SafePal — перевіртеся, посиліть пильність і пам’ятайте: жоден легітимний гаманець ніколи не попросить ввести сід-фразу. Більше матеріалів про безпеку в крипті — у нашому розділі новин.