SafePalのデータ侵害で40,000人に影響

暗号資産ハードウェアウォレットのSafePalは、データ侵害により個人情報が盗まれたとして、およそ40,000人に通知を行っています。

同社によると、ハッカーは顧客注文情報プラグインの注文追跡機能に存在する脆弱性を悪用し、顧客情報にアクセスしたとのことです。

「2025年3月2日から2026年4月11日までの間に注文を行ったお客様の注文情報について、コミュニティの皆様に大変申し訳なく思っております」とSafePalは述べています。

流出した情報には、氏名、住所、メールアドレス、電話番号、注文詳細が含まれています。

「影響を受けたお客様は約39,798人に上ります」と同社は説明しています。

SafePalが今回のデータ侵害を公表したのは日曜日でした。同じ日に、あるサイバー犯罪フォーラムでSafePalのデータ窃取を宣伝する脅威アクターが現れています。SafePalの発表と一致する形で、攻撃者は39,798人が影響を受けたと主張しています。

同社は、その他の顧客関連情報は影響を受けていないと強調しています。

「今回の事案では、シードフレーズ、秘密鍵、ウォレットパスワードなどのウォレット認証情報、銀行口座情報、決済カード番号、政府発行の身分証明書番号は一切関与していません」と同社は述べています。

影響を受けた可能性のある人々に対しては、シードフレーズや秘密鍵を求める不審な連絡に注意するよう呼びかけています。

「不審なメッセージ、ウェブサイト、電話、または書面での問い合わせに応じてシードフレーズや秘密鍵をすでに共有・入力してしまった場合は、そのウォレットが侵害されたものとみなしてください。信頼できるSafePalデバイスまたは公式のSafePalアプリケーションを使って新しいウォレットを作成し、残っている資産を直ちに新しいウォレットへ移してください」とSafePalは注意を促しています。

同社によると、5月に報告を受けて本事案の調査を開始したものの、当初は孤立した事例として扱っていたとのことです。その後、システム上のバグにより注文関連データが想定よりもはるかに長期間保存されていたことが判明しました。

「この問題を根本的に解決するため、7月に注文処理パイプラインの全面的な見直しと再構築に着手し、調査中に指摘された根本原因を確認しました」と同社は述べています。

同社は、攻撃で悪用された脆弱性への対処、注文関連情報の保持期間の厳格化、影響を受けた人々の特定と通知、問題が波及しないよう提携先への連絡、そして調査のための第三者セキュリティ企業への委託を実施したとしています。

SafePalは、「詐欺行為に関連する30件以上の不正なウェブサイトとフィッシングリンクを特定し、削除した」とし、新たなものについても引き続き積極的に監視を行っていると述べています。

同社は、今回の事案に関連して金銭的損害を被った可能性のある顧客に対し、連絡の上で関連する詳細情報を提供するよう呼びかけています。同社はオンチェーン資産追跡の専門家とも連絡を取っているとのことです。

「これは責任を認めるものでも、補償を約束するものでもないことにご留意ください。現段階での当社の focus は、復旧支援と継続中の調査への協力です」とSafePalは述べています。