Мнемонічна фраза може бути змінена. Пароль можна скинути. Домашня адреса залишається незмінною. Інцидент із витоком даних SafePal, оголошений у неділю, розкрив майже 40 000 таких записів.
Три дні до цього Trezor ненавмисно оприлюднив ще 13 689 записів. Сукупно обидва виробники апаратних гаманців відкрили доступ до 53 487 клієнтських даних. Жоден із цих інцидентів не призвів до втрати криптовалютних активів.
Що містив витік даних SafePal
SafePal зафіксував, що постраждали 39 798 користувачів. У перелік скомпрометованої інформації увійшли імена, електронні адреси, номери телефонів, поштові адреси та деталі замовлень.
Dear community,
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal) August 16, 2026
Джерелом став дефект стороннього плагіна, який SafePal застосовує для моніторингу замовлень. У ряді випадків одному клієнту був доступний обліковий запис іншого користувача.
Витік охоплює замовлення з 2 березня 2025 року по 11 квітня 2026 року. Проміжок фактично відкривав адміністративний доступ понад 13 місяців.
Мнемонічні фрази, приватні ключі, банківські реквізити та номери карт не постраждали. SafePal повідомив про усунення дефекту та скорочення терміну зберігання історії замовлень до 90 діб згідно з офіційною заявою.
Вартість SafePal Token (SFP) практично не відреагувала в неділю, коливалася близько $0,23. Це показово: фінансового впливу не простежується.
Чому витік адрес є суттєвішим, ніж витік паролів
Trezor отримав інформацію про компрометацію даних клієнтів 10 серпня. Порушення було спричинено втручанням у діяльність логістичного партнера ShipMonk.
За офіційними даними компанії, для 11 742 покупців Trezor були оприлюднені повні пакети даних: імена, адреси електронної пошти, телефони, а також домашні адреси (джерело).
Ключова відмінність між двома випадками – походження витоку: у Trezor інформацію скомпрометовано через зовнішнього підрядника, тоді як SafePal втратила контроль через недосконалість власної інфраструктури.
Однак для зловмисників ці переліки рівнозначні за цінністю. Купівля апаратного гаманця посередньо свідчить про наявність у власника значних криптоактивів, які перенесено в самостійне зберігання поза біржами.
Порівняно зі стандартним витоком із біржі, перелік покупців апаратних гаманців специфічно ідентифікує вірогідних власників значних активів та підв’язує їх до конкретних поштових адрес – фактичних точок фізичного проживання.
Прокурори не вперше стикаються з подібною схемою
У травні американські правоохоронці висунули обвинувачення трьом жителям Теннессі у серії збройних грабежів на суму $6,5 млн на території Каліфорнії.
#FBI CASE UPDATE: Three men have been indicted on robbery, kidnapping, and conspiracy charges related to a $6 million cryptocurrency robbery spree throughout the Bay Area and LA. Elijah Armstrong, Nino Chindavanh, and Jayden Rucker – all from Tennessee- were charged on Conspiracy… pic.twitter.com/mIQQKjS3K2
— FBI SanFrancisco (@FBISanFrancisco) May 11, 2026
За даними обвинувального висновку, зловмисники видавали себе за кур’єрів для проникнення до помешкань жертв.
Витік відомостей про доставку фактично передає цей інструментарій у розпорядження наступних груп: покупець чітко ідентифікований, адреса відома, зміст упаковки також. Мінімум невизначеності.
Фішингові атаки, за поточною практикою, — менш значущий ризик. SafePal вже деактивувала понад 30 підробних вебсайтів та фішингових посилань, пов’язаних із втраченими користувацькими даними.
Офіційні повідомлення надходили з адреси security@safepal.com. Будь-які листи з інших поштових адрес доцільно розцінювати як потенційну кібератаку.
Події навколо Ledger демонструють довгостроковий ефект. Витік 2020 року торкнувся приблизно 272 000 поштових адрес, імен і телефонів користувачів (за заявою компанії).
Минуло шість років, однак Ledger досі інформує клієнтів про ризики отримання фішингових листів звичайною поштою. Компанія не пов’язує ці повідомлення безпосередньо з витоком 2020 року, але корисний ефект від застережень зберігається.
Сумнівні домени блокуються, поштові скриньки очищуються, але фізична адреса не втрачає актуальності з плином часу – цей параметр не має терміну дії.
Trezor анонсував реалізацію анонімної доставки. У ЄС можливість стартує у вересні, у США – до кінця року. Однак для 53 487 скомпрометованих записів це рішення вже надто запізніле.
The post Понад 53 000 власників криптовалюти втратили цього тижня не гроші appeared first on BeInCrypto Ukrainian.