Утечка данных SafePal 2026: подробности, риски и сравнение с Ledger и Trezor

16 августа 2026 года производитель аппаратных криптокошельков SafePal официально объявил об утечке данных, в результате которой злоумышленники получили доступ к персональной информации о заказах примерно 39 798 клиентов . Причиной стала ошибка авторизации в плагине отслеживания заказов, которая позволяла одному пользователю просматривать данные о заказах другого без соответствующих прав доступа . Важно подчеркнуть: ключи от кошельков, сид-фразы и финансовые данные не были скомпрометированы . Однако утечка создает серьезные риски фишинга для пострадавших пользователей . Примечательно, что этот инцидент произошел всего через три дня после того, как Trezor сообщил о своей утечке, и в итоге за одну неделю в открытом доступе оказались данные более 53 000 владельцев аппаратных кошельков .

Какие данные были раскрыты в результате утечки SafePal?

SafePal подтвердил, что в период уязвимости злоумышленники могли получить доступ к следующей информации :

• Имена клиентов
• Адреса электронной почты
• Почтовые адреса для доставки
• Номера телефонов
• Сведения о покупках и история заказов

При этом SafePal особо отметил, что не были скомпрометированы следующие критически важные данные, так как компания их никогда не собирает и не хранит :

• Сид-фразы (seed phrases)
• Приватные ключи
• Пароли от кошельков или другие учетные данные
• Банковская информация
• Номера платежных карт
• Номера государственных удостоверений личности

Компания также заявила, что не обнаружено никаких доказательств того, что инцидент привел к компрометации доступа к кошелькам или средствам SafePal .

Как произошла утечка?

В ходе внутреннего расследования SafePal выявил ошибку авторизации в своем плагине для отслеживания заказов — компоненте, используемом для мониторинга статуса заказов клиентов . Эта уязвимость позволяла плагину предоставлять одному клиенту возможность просматривать данные о заказах другого клиента без надлежащей авторизации . После обнаружения проблемы она была устранена, и SafePal заявил о внедрении дополнительных мер безопасности .

Утечка затронула заказы, оформленные за примерно 13 месяцев — с 2 марта 2025 года по 11 апреля 2026 года . Сообщение об инциденте было опубликовано в аккаунте SafePal в соцсети X (бывший Twitter) и в официальном блоге компании 16 августа 2026 года .

Фишинговые риски и предупреждения

Несмотря на то, что кошельки и средства пользователей SafePal остались в безопасности, раскрытые данные представляют собой лакомый кусочек для киберпреступников. Подтвержденные имена, физические адреса и история покупок — идеальная основа для целевых фишинговых атак, попыток выдачи себя за другое лицо и кражи личных данных .

SafePal предупредил пострадавших пользователей о необходимости сохранять бдительность в отношении фишинга и попыток мошенничества . По данным наблюдателей отрасли, с этой утечкой было связано более 30 фишинговых сайтов . Риск особенно высок, потому что данные подтверждают, что жертва владеет конкретной моделью аппаратного кошелька, включая адрес доставки, что позволяет мошенникам создавать крайне убедительные схемы обмана.

Как проверить, пострадали ли вы?

SafePal уведомил пострадавших клиентов по электронной почте и предоставил официальную страницу проверки, где можно узнать статус, используя номер заказа и страну доставки .

Сравнение с предыдущими утечками данных производителей аппаратных кошельков

Утечка SafePal стала третьим крупным инцидентом в индустрии аппаратных кошельков примерно за неделю и во многом повторяет сценарий масштабной утечки Ledger в 2020 году.

Утечка Ledger (2020)

• Дата раскрытия: Июль 2020 года
• Масштаб: Около 1 миллиона email-адресов и 272 000 подробных записей клиентов (полные имена, адреса, номера телефонов)
• Источник: Скомпрометированный API-ключ электронной коммерции
• Средства под угрозой? Нет
• Последствия: Украденные данные были опубликованы на форуме RaidForums в декабре 2020 года, что привело к многолетним фишинговым атакам на клиентов Ledger

Утечка Trezor (август 2026)

• Дата раскрытия: 13 августа 2026 года
• Масштаб: 13 689 клиентов — у 11 742 были раскрыты полные персональные данные (имена, email, телефоны, адреса доставки); у 1 947 — частично
• Источник: Утечка у стороннего поставщика логистических услуг ShipMonk
• Средства под угрозой? Нет

Утечка SafePal (август 2026)

• Дата раскрытия: 16 августа 2026 года
• Масштаб: 39 798 клиентов
• Источник: Ошибка авторизации во внутреннем плагине отслеживания заказов
• Средства под угрозой? Нет

Ключевые различия и выводы

1. Объем: Утечка Ledger в 2020 году была гораздо масштабнее (1 млн email-адресов против 40 000 у SafePal и ~14 000 у Trezor), а данные были активно выложены на хакерском форуме, что привело к многолетним фишинговым атакам .

2. Вектор атаки: Каждый инцидент имел разную природу — у Ledger это была компрометация API-ключа; у Trezor — взлом стороннего логистического провайдера; у SafePal — ошибка авторизации в собственном внутреннем плагине .

3. Что осталось в безопасности во всех трех случаях: Ни в одном из инцидентов не были скомпрометированы сид-фразы, приватные ключи или средства в кошельках. Похищение криптовалюты напрямую не было связано ни с одной из этих утечек .

4. Совокупный эффект: Временной промежуток в три дня между утечками Trezor (13 августа) и SafePal (16 августа) привел к тому, что в открытом доступе оказались данные более 53 000 клиентов производителей аппаратных кошельков, что значительно увеличило общий фишинговый риск для криптосообщества .