487
2026-08-17
2分
硬體錢包 SafePal 買家名單被掛上犯罪論壇販售：3.9 萬人在列
硬體錢包把私鑰鎖在離線裝置裡，安全性建立在私鑰從不連網這件事上。但買一台實體裝置得留下真實姓名、住家地址和電話，這份訂單紀錄本身就是一張「誰家裡有加密貨幣」的名單。名單外流不會讓錢直接消失，卻能讓詐騙者寫出叫得出你名字的信，也讓有心人知道該找上哪一戶。
8 月 16 日 SafePal 公告，訂單追蹤外掛程式有一個授權漏洞，改動訂單編號就能讀到別人的訂單，2025 年 3 月到 2026 年 4 月間下單的 39,798 名客戶因此外洩姓名、地址與電話，種子短語與私鑰未受影響。同一天資安媒體 BleepingComputer 發現有人在犯罪論壇掛賣這批資料，賣家引用同一段期間與同一個人數，還提供訂單編號與寄送國別讓買家去官網自查工具驗貨。SafePal 說 5 月初收到第一份相符通報時當成個案，7 月重建訂單系統才找到漏洞。
- SafePalSafePal 安全事件說明：訂單追蹤外掛漏洞影響 39,798 名客戶
- CoinDesk加密錢包 SafePal 揭露資料外洩：近 4 萬名客戶訂單資訊曝光
- BleepingComputerSafePal 資料外洩影響 39,798 名客戶，被竊資料已被掛賣
- DecryptSafePal 錢包資料外洩，引發持有者遭實體攻擊的擔憂
- SafePal（官方帳號）：「您的 SafePal 錢包、種子短語和私鑰是安全的。我們發現訂單追蹤外掛程式中的一個缺陷，導致部分客戶的資訊遭到未經授權的存取。該問題已修復，並引入了額外的安全措施。」
- Taylor Monahan：「他們把最關鍵的資訊藏在第七段，然後馬上淡化影響，說你唯一的風險只是收到一些釣魚信。他們五個月都沒發現這件事？顯然沒有人該相信這些人。」
- greb：「這其實很誇張，因為很明顯事情發生在五月甚至四月，但團隊還一直在唬弄大家說不是他們，明明就是。調查這種事不需要四個月，修好也不需要四個月。」
- Specter：「SafePal 從五月初就已經被入侵，卻選擇不揭露。更令人擔憂的是，你們有些使用者已經開始收到釣魚攻擊，有些甚至已經被入侵，你們卻選擇不透明、不警告、不提醒。」
- Yedior：「我幾個月前就把 SafePal 這起外洩講出來了。可惜他們花了三個月才承認。」
- Byzantine General：「Ledger、Coldcard、Trezor，現在又輪到 SafePal。為什麼每一家都被駭？」
- tochi：「大約 4 萬名 SafePal 客戶剛遭遇資料外洩。我們社群不如一起放棄硬體錢包，聽 zachxbt 的建議，弄一支專用 iPhone 來做自我保管。」
- Dark Web Informer：「有論壇賣家在宣傳據稱來自 SafePal 訂單外掛外洩的客戶資訊，宣稱約 39,798 名客戶受影響，並表示潛在買家可以拿到訂單與國別資訊，去對照 SafePal 的客戶通知系統驗證記錄。」
相關脈絡 · 1 件
硬體錢包是把私鑰離線保存的實體裝置，Trezor 是最老牌的品牌之一。這種裝置先天有個矛盾，本身不連網，但寄到家門口一定要留下姓名、電話與地址，物流商就握有這份名單。名單外流，等於告訴外人「這個地址的人手上有加密貨幣」。今年上半年全球已有 52 起針對持幣者的暴力搶案。
Trezor 8 月 13 日公布，物流商 ShipMonk 的系統遭到未授權存取，13,689 名客戶的訂單資料外洩，其中 11,742 人的姓名、電話、信箱與地址全被拿走，另外 1,947 人只外洩姓名、城市與信箱。受影響的是 5 月 10 日到 8 月 8 日之間在美國、英國、巴西等七國收貨的新客戶。Trezor 說自家系統、裝置與私鑰都沒被碰到，並把「匿名寄送」提前排進時程，歐盟九月、美國年底上線。