SafePal раскрыл утечку данных 39 798 клиентов через плагин отслеживания заказов

16 августа производитель аппаратных кошельков SafePal раскрыл утечку данных 39 798 клиентов. Наружу ушли имена, адреса электронной почты, телефоны, адреса доставки и детали покупок по заказам, оформленным со 2 марта 2025 по 11 апреля 2026 года. Сид-фразы, приватные ключи, пароли кошельков, банковские реквизиты, номера карт и государственные идентификаторы, по заявлению компании, не затронуты; признаков доступа к самим кошелькам или средствам не найдено.

Причина — ошибка авторизации в плагине отслеживания заказов: при определённых условиях клиент мог получить чужие заказы. Последствия утяжелила вторая проблема: сбой конфигурации остановил регулярную очистку данных с сентября 2025 по апрель 2026, поэтому в базе продолжали лежать и старые заказы. Первый сигнал, похожий на утечку, компания получила в начале мая 2026 года, полный аудит и перестройку обработки заказов начала в июле, а публично сообщила только 16 августа. К этому моменту на киберкриминальном форуме уже продавали выборку с тем же периодом и тем же числом клиентов.

SafePal закрыла уязвимость, привлекла независимую фирму для проверки исправления, сократила срок хранения персональных данных до 90 дней, разослала уведомления пострадавшим и сняла более 30 фишинговых сайтов и ссылок. Практический риск здесь не прямая кража монет, а адресный фишинг: атакующий знает, что у человека есть аппаратный кошелёк, и располагает его именем, телефоном и домашним адресом — материал для писем и SMS «от поддержки», фейковых возвратов и давления офлайн.