W niedzielę SafePal poinformował, że wykrył „ulemność autoryzacji” w wtyczce używanej do monitorowania zamówień klientów. Ta luka prawdopodobnie umożliwiała atakującym przeglądanie zamówień innych klientów. Można to porównać do systemu śledzenia przesyłek w sklepie, w którym jeden klient może zobaczyć rachunek i dane dotyczące dostawy innego, po prostu zmieniając numer zamówienia.
Ujawnienie dotknęło 39 798 klientów, którzy złożyli zamówienia w okresie od 2 marca 2025 roku do 11 kwietnia 2026 roku.
SafePal podkreślił, że podstawowa bezpieczeństwo portfeli nie zostało naruszone, dodając, że frazy seed, klucze prywatne, hasła bankowe, dane kont bankowych, numery kart płatniczych oraz dokumenty potwierdzające tożsamość nie zostały skompromitowane.
Niemniej jednak firma oświadczyła, że użytkownicy, którzy przekazali swoje klucze prywatne lub frazy seed za pośrednictwem e-maila phishingowego, telefonu czy przesyłki pocztowej, powinni uznać swój portfel za skompromitowany i przenieść aktywa na nowy.
Klienci mogą skorzystać z narzędzia sprawdzającego na stronie SafePal, aby dowiedzieć się, czy ich dane zostały objęte ujawnieniem.
