16 августа производитель аппаратных кошельков SafePal раскрыл утечку данных 39 798 клиентов. Наружу ушли имена, адреса электронной почты, телефоны, адреса доставки и детали покупок по заказам, оформленным со 2 марта 2025 по 11 апреля 2026 года. Сид-фразы, приватные ключи, пароли кошельков, банковские реквизиты, номера карт и государственные идентификаторы, по заявлению компании, не затронуты; признаков доступа к самим кошелькам или средствам не найдено.
Причина — ошибка авторизации в плагине отслеживания заказов: при определённых условиях клиент мог получить чужие заказы. Последствия утяжелила вторая проблема: сбой конфигурации остановил регулярную очистку данных с сентября 2025 по апрель 2026, поэтому в базе продолжали лежать и старые заказы. Первый сигнал, похожий на утечку, компания получила в начале мая 2026 года, полный аудит и перестройку обработки заказов начала в июле, а публично сообщила только 16 августа. К этому моменту на киберкриминальном форуме уже продавали выборку с тем же периодом и тем же числом клиентов.
SafePal закрыла уязвимость, привлекла независимую фирму для проверки исправления, сократила срок хранения персональных данных до 90 дней, разослала уведомления пострадавшим и сняла более 30 фишинговых сайтов и ссылок. Практический риск здесь не прямая кража монет, а адресный фишинг: атакующий знает, что у человека есть аппаратный кошелёк, и располагает его именем, телефоном и домашним адресом — материал для писем и SMS «от поддержки», фейковых возвратов и давления офлайн.