SafePal（セーフパル）が約4万人分の顧客データ漏洩を開示。ウォレットの資産は安全も、フィッシングリスクは深刻に

しかし、流出したのは実在するハードウェアウォレット所有者の氏名、住所、電話番号、購入機種という、フィッシング（詐欺）に極めて悪用しやすい情報です。すでに30以上のフィッシングサイトがこの流出データに関連して確認されています。

なぜ問題なのか：フィッシングリスクの現実

暗号資産（仮想通貨）の世界では、ウォレットそのものが安全でも、所有者の個人情報を武器にした攻撃が後を絶ちません。「お客様のウォレットに問題が発生しました」といった偽のサポートを装い、ユーザーをだまして秘密鍵やリカバリーフレーズを入力させる手口は年々巧妙化しています。

今回のSafePalのケースでは、攻撃者が顧客の「購入した機種」「届け先住所」まで把握しているため、偽のサポートメールや実物の封書を使った詐欺に悪用される危険性が特に高いと指摘されています。

影響を受けたか確認する方法

SafePalは影響を受けた顧客に直接メールで通知しています。公式サイトには専用の確認ページが設けられており、注文番号と配送国を入力することで自身のステータスを確認できます。

他のハードウェアウォレットの漏洩事件と比較

SafePalの今回の漏洩は、過去のハードウェアウォレット業界における大規模情報流出のパターンを忠実になぞるものです。特に、2020年のLedger（レジャー）の事件は記憶に新しいところです。

2020年 Ledger（レジャー）事件

• 発覚日: 2020年7月
• 規模: 約100万件のメールアドレス、約272,000件の詳細顧客情報（氏名、住所、電話番号）
• 原因: ECサイトのAPIキーが不正に取得された
• ウォレットの資産: 侵害なし
• その後: 2020年12月に流出データがハッキングフォーラム「RaidForums」に公開され、その後数年にわたってLedgerユーザーを標的にしたフィッシングキャンペーンが多発。住所を知られた被害者宅に偽のリカバリー用紙が郵送される事件も起きた

2026年8月 Trezor（トレザー）事件

• 発覚日: 2026年8月13日（SafePalのわずか3日前）
• 規模: 13,689人。うち11,742人が氏名・メール・電話番号・住所のフルスペック流出
• 原因: 配送委託先のShipMonk（シップモンク）がサイバー攻撃を受けた
• ウォレットの資産: 侵害なし

2026年8月 SafePal（今回の事件）

• 発覚日: 2026年8月16日
• 規模: 39,798人
• 原因: 自社の注文追跡プラグインの認証不備
• ウォレットの資産: 侵害なし

比較から見える3つの重要なポイント

1. 規模の違い: Ledgerの約100万件に比べればSafePal（約4万件）とTrezor（約1万4千件）は小規模だが、肝心なのは「質」。3件とも実在するハードウェアウォレット保有者の最新個人情報であり、詐欺師にとっては極上の「標的リスト」となる。

2. 攻撃経路の多様化: Ledgerは外部のAPIキー、Trezorは委託先企業、SafePalは自社プラグインと、攻撃経路はそれぞれ異なる。これはウォレットそのものの脆弱性ではなく、企業の顧客情報管理とサプライチェーン全体のセキュリティに課題があることを示している。

3. 全事件に共通する「安全」な部分: シードフレーズ、秘密鍵、ウォレットの資金はいずれの事件でも一切侵害されていない。これはハードウェアウォレットの設計思想（秘密鍵をインターネットから物理的に隔離する）が機能している証拠でもある。

ユーザーが今すぐ取るべき対策

• 公式からの連絡だけを信用し、リンクをクリックする前に差出人アドレスとURLを必ず確認する
• SafePalやTrezor、Ledgerを名乗る「ウォレットのアップデートが必要」「セキュリティ警告」といったメールには決して返信しない
• シードフレーズ（リカバリーフレーズ）の入力を求めるサイトはすべて詐欺とみなす。正規のサポートがこれを求めることは絶対にない
• すでに不審なメールを受け取った場合は、公式の報告窓口に連絡する