Утечка данных
16 августа SafePal объявила о уязвимости в плагине отслеживания заказов, из‑за которой были раскрыты личные данные 39 798 клиентов, сделавших покупку аппаратных кошельков с марта 2025 по апрель 2026 года. Утекли имена, e‑mail, почтовые и физические адреса, телефоны и детали заказов. Сид‑фразы, приватные ключи и банковские реквизиты, по заявлению компании, не пострадали.
Фишинговая кампания
Мошенники используют полученные сведения для рассылки поддельных писем владельцам кошельков в Италии. В письме указывается имя, адрес и детали заказа, а также ссылка на фальшивый сайт SafePal, размещённый в сети Arweave. На странице присутствует QR‑код, ведущий на сайт‑клонинг, где пользователю предлагается ввести секретную фразу восстановления. Ввод её даёт злоумышленникам полный контроль над криптоактивами.
Реакция SafePal
SafePal подтвердил в своём аккаунте X, что письма не отправлялись компанией и инфраструктура кошельков остаётся защищённой. Компания просит пострадавших сообщать о фишинговых письмах на странице scam‑protection, прикладывая фото QR‑кода, чтобы быстрее блокировать поддельные ресурсы.
Предыдущие инциденты
Подобные атаки уже имели место у конкурентов. В 2020 году в результате утечки у Ledger попали адреса более 272 000 покупателей, а в 2025 году снова появились фальшивые письма. В августе у партнёра Trezor по логистике произошла утечка 13 689 записей. Ни Ledger, ни Trezor, ни SafePal не сообщали о компрометации самих кошельков.
Как защититься
- Никогда не вводите сид‑фразу на сторонних сайтах;
- Проверяйте URL: официальный сайт SafePal находится по адресу safepal.io;
- При получении письма от «SafePal» без цифровой подписи игнорируйте его;
- Сообщайте о подозрительных письмах в службу поддержки.
Эти меры помогут минимизировать риск потери средств.
