Coldcard, Trezor, a teraz to. Kolejny producent portfeli sprzętowych krypto dopuścił do wycieku danych
Producent portfeli sprzętowych dla kryptowaluciarzy SafePal potwierdził dzisiaj że doszło do wycieku danych osobowych około 39,8 tysięcy klientów, którzy kupowali ich produkty pomiędzy 2 marca 2025 a 11 kwietnia 2026 r. Nie uzyskano dostępu do tzw. kluczy prywatnych ani fraz odzyskiwania. Luka znajdowała się we protokole obsługującym śledzenie zamówień i pozwalała osobom nieuprawnionym na uzyskanie dostępu do danych innych kupujących. Wyciekły między innymi imiona i nazwiska, adresy e-mail, numery telefonów, adresy dostawy oraz szczegóły transakcji. Co to oznacza w praktyce? Na przykład: przestępca wie teraz kto kupił urządzenie do przechowywania kryptowalut, jaki produkt zamówił i pod jakim adresem mieszka.
Najważniejsze fakty
- Incydent dotyczy 39 798 klientów SafePal, którzy składali zamówienia od 2 marca 2025 do 11 kwietnia 2026 r.
- Osoby nieuprawnione uzyskały dostęp m.in. do imion i nazwisk, adresów e-mail, adresów dostawy, numerów telefonu oraz historii transakcji
- Nie wyciekły frazy odzyskiwania, klucze prywatne, hasła do portfeli, dane logowania, numery kart płatniczych ani informacje o rachunkach bankowych.
- Pierwszy sygnał ostrzegawczy SafePal otrzymał w maju. Przyczynę potwierdzono dopiero po rozpoczętym w lipcu przeglądzie systemu zamówień.
- Inny błąd sprawił, że część archiwalnych danych nie została usunięta zgodnie z procedurą. Mechanizm czyszczenia bazy nie działał prawidłowo od września 2025 r. do kwietnia 2026 r.
- Firma reaguje. Na razie skróciła okres przechowywania danych osobowych związanych z zamówieniami do 90 dni i deklaruje, że usunęła już ponad 30 stron i linków phishingowych.
Błąd w systemie trackingowym doprowadził do wycieku danych
Producent zidentyfikował, że przyczyną był błąd autoryzacji we wtyczce służącej klientom do sprawdzania aktualnego stanu zamówienia. W określonych warunkach system pozwalał podejrzeć informacje na temat zakupu złożonego przez inną osobę. Firma zapewnia, że po wykryciu problemu lukę bezpieczeństwa usunęła i twierdzą że dołożyli przy okazji kolejne zabezpieczenia aby nie dopuścić żeby sytuacja się powtórzyła.
Producent uruchomił też specjalną stronę internetową, na której każdy może wpisać numer swojego zamówienia, docelowy kraj dostawy i sprawdzić, czy znajduje się w grupie poszkodowanych przez wyciek. Do wszystkich zidentyfikowanych osób wysłano też indywidualne wiadomości e-mail z adresu [email protected] (to bardzo ważne żeby sprawdzić poprawność adresu e-mail; oszuści często wykorzystują podobne sytuacje do wtórnej wiktymizacji ofiar przez wysyłanie im fejkowych maili z groźnymi linkami).
SafePal pierwsze sygnały ostrzegwcze dostawał już w maju
Wszystko wskazuje na to, że SafePal pierwsze doniesienia o problemie bagatelizował. Firma przyznała publicznie, że pierwsze zgłoszenie na temat problemu dostała w maju. Początkowo potraktowano je jako odosobniony przypadek.
Dopiero w lipcu producent przeprowadził kompletny przegląd i przebudowę systemu obsługi zamówień. W trakcie prac wykryto to, co wiemy już dzisiaj- że problem nie był w rzeczywistości odosobniony i że dotyczy nawet kilkadziesięciu tysięcy osób.
Przy okazji wyszedł na jaw kolejny blamaż. Automatyczny proces usuwania danych archiwalnych SafePala przestał działać prawidłowo między wrześniem 2025 r. a kwietniem 2026 roku z powodu błędu w konfiguracji. W rezultacie w bazie znajdowały się dane, których normalnie już tam być nie powinno. „Dzięki” temu lista poszkodowanych sięga aż marca 2025 r.
W odpowiedzi producent skrócił okres przechowywania danych wrażliwych na temat zamówień do 90 dni, zachowano jedynie zaszyfrowaną kopię offline, która ma służyć ewentualnemu dochodzeniu organów ścigania.
Klucze prywatne są bezpieczne, problemem leży gdzie indziej
Sam portfel sprzętowy nie został złamany, nie skradziono też żadnych kryptoaktywów. SafePal podkreśla, że system sprzedaży jest oddzielony od infrastruktury portfela i nie przechowuje fraz odzyskiwania ani kluczy prywatnych. Problem leży gdzie indziej.
Wyciek danych oznacza, że potencjalny złoczyńca wie kto, ile i jakich portfeli kryptowalutowych kupił oraz gdzie mieszka. Polska nie słynie (jeszcze) z głośnych przypadków napadów, haraczu, porwań i tortur w celu wymuszenia udostępnienia dostępu do krypto-portfela, ale w krajach takich jak Francja jest to poważny problem.
Redakcja BitHub.pl poleca również:
Adresy portfeli krypto są regularnie zatruwane. Ten człowiek stracił prawie 400 tysięcy złotych
Norwegia po cichu zgromadziła 11 549 Bitcoinów. Państwowy gigant bije rekord
