暗号資産ウォレットSafePalは、2025年3月2日から2026年4月11日にかけて注文を行った39,798人の顧客の氏名、住所、連絡先情報が流出するセキュリティ侵害が発生したことを明らかにした。
同社は、数千人の顧客の注文詳細が流出したものの、すべての秘密鍵、シードフレーズ、及び暗号資産は完全に安全であると強調している。
SafePalは、暗号資産ハードウェアウォレットの提供者であり、顧客の個人情報である氏名、住所、連絡先が外部に漏れたことを認めた。流出した情報により、被害者はフィッシングやなりすましのリスクにさらされているが、暗号資産の資金やパスワード、ウォレットの秘密鍵には被害が及んでいない。
SafePalは、物理的なハードウェアウォレットとソフトウェアアプリケーションを通じてデジタル資産の安全な保管・管理を提供している。
この事件は、先ごろ発生したColdcardハードウェアウォレットのハッキング事件に続くものであり、当時は攻撃者が1億2,000万ドル相当のビットコインを盗んだと報じられている。これらの事例はハードウェアウォレットに体系的な弱点があるとは断定されないが、暗号資産の保管にリスクゼロは存在しないことを示している。また、リスクの集中度を慎重に評価し、保有および保管ウォレットの分散が重要であることを改めて示している。
何が起きたのか？
SafePalは、顧客の注文を追跡するプラグインに「認証の欠陥」があることを確認した。これにより、攻撃者が他の顧客の注文情報を閲覧できた可能性がある。例えるなら、配送追跡システムにおいて注文番号を変えるだけで他人のレシートや配送詳細が見えてしまう状況だとしている。
影響を受けたのは、2025年3月2日から2026年4月11日の間に注文した39,798人の顧客である。
SafePalは、ウォレットの基盤となるセキュリティは維持されていると強調し、ユーザーのシードフレーズ、秘密鍵、銀行パスワード、銀行口座情報、決済カード番号、政府発行のID情報は流出していないと明記している。
ただし、フィッシングメールや電話、郵便を通じて秘密鍵やシードフレーズを共有したユーザーに対しては、ウォレットが侵害されたとみなして資産を新しいウォレットへ移すことを推奨している。
SafePalの対応
同社は脆弱性を修正し、追加のセキュリティ対策を講じたことを発表した。被害を受けたすべての顧客にはsecurity@safepal.comから通知メールを送り、第三者の独立セキュリティ企業に修正内容の監査と注文処理システムのレビューを依頼している。
また、SafePalは注文処理システムにおける顧客の個人データを収集日から90日間のみ保持すると明記。さらに、今回の侵害に関連する30以上の詐欺サイトやフィッシングリンクを特定して削除済みであることも公表している。
