SafePal Veri İhlali 2026: 40.000'e Yakın Kullanıcının Bilgisi Sızdı

SafePal İhlalinde Hangi Veriler Sızdırıldı?

SafePal, saldırganların maruz kalma süresi boyunca aşağıdaki bilgilere erişebildiğini doğruladı :

• Müşteri isimleri
• E-posta adresleri
• Teslimat adresleri
• Telefon numaraları
• Satın alma detayları ve sipariş geçmişi

SafePal, şirketin müşterilerinden bu tür bilgileri asla toplamadığını veya saklamadığını belirterek aşağıdaki hassas verilere erişilmediğini açıkça ifade etti :

• Kurtarma ifadeleri (seed phrases)
• Özel anahtarlar (private keys)
• Cüzdan şifreleri veya diğer cüzdan kimlik bilgileri
• Banka hesap bilgileri
• Kredi kartı numaraları
• Devlet tarafından verilmiş kimlik numaraları

Şirket ayrıca, olayın SafePal cüzdanlarına veya fonlarına erişimi tehlikeye attığına dair herhangi bir kanıt bulunmadığını da doğruladı .

İhlal Nasıl Gerçekleşti?

SafePal, sipariş takip eklentisinde bir yetkilendirme hatası tespit etti . Bu açık, eklentinin bir müşterinin başka bir müşterinin sipariş verilerini uygun yetkilendirme olmadan görmesine izin vermesine neden oldu . Sorun keşfedildikten sonra giderildi ve SafePal ek güvenlik önlemlerinin uygulandığını belirtti .

İhlal, yaklaşık 13 ay boyunca, yani 2 Mart 2025'ten 11 Nisan 2026'ya kadar olan siparişleri kapsadı . SafePal olayı 16 Ağustos 2026'da bir X gönderisi ve resmi blogundaki bir güvenlik güncellemesiyle duyurdu .

Oltalama (Phishing) Riskleri ve Uyarılar

SafePal'ın cüzdanları ve fonları güvende kalırken, sızan veriler siber suçlular için oldukça caziptir. Doğrulanmış isimler, fiziksel adresler ve satın alma geçmişi, hedefli oltalama, kimlik avı ve kimlik hırsızlığı girişimleri için ideal bir zemin oluşturmaktadır .

SafePal, etkilenen kullanıcıları oltalama ve kimlik avı girişimlerine karşı dikkatli olmaları konusunda uyardı . Sektör gözlemcileri, ihlalle bağlantılı 30'dan fazla oltalama sitesi tespit edildiğini belirtti . Risk, özellikle sızan verilerin mağdurun belirli bir donanım cüzdanı modeline sahip olduğunu ve teslimat adresini de içermesi nedeniyle oldukça inandırıcı dolandırıcılıklara olanak tanımasıyla daha da ciddi hale geliyor.

Etkilenip Etkilenmediğinizi Nasıl Kontrol Edebilirsiniz?

SafePal, etkilenen müşterilere e-posta yoluyla bildirim gönderdi ve müşterilerin sipariş numaralarını ve teslimat ülkelerini kullanarak durumlarını kontrol edebilecekleri resmi bir doğrulama sayfası sağladı .

Önceki Donanım Cüzdan İhlalleriyle Karşılaştırma

SafePal ihlali, donanım cüzdan sektöründe yaklaşık bir hafta içinde meydana gelen üçüncü büyük veri sızıntısıdır ve 2020'deki büyük Ledger sızıntısının izlerini taşımaktadır.

2020 Ledger İhlali

• Açıklanma Tarihi: Temmuz 2020
• Kapsam: Yaklaşık 1 milyon e-posta adresi ve 272.000 ayrıntılı müşteri kaydı (tam ad, adres, telefon numarası)
• Kaynak: Güvenliği ihlal edilmiş e-ticaret API anahtarı
• Fonlar Tehlikeye Girdi mi? Hayır
• Sonrası: Çalınan veriler Aralık 2020'de RaidForums'ta kamuya açıklandı ve Ledger müşterilerine karşı yıllarca süren kalıcı oltalama kampanyalarına yol açtı

Trezor İhlali (Ağustos 2026)

• Açıklanma Tarihi: 13 Ağustos 2026
• Kapsam: 13.689 müşteri; 11.742'sinin tam PII'si (isim, e-posta, telefon, adres), 1.947'sinin kısmi bilgisi sızdı
• Kaynak: Üçüncü taraf kargo sağlayıcısı ShipMonk'taki ihlal
• Fonlar Tehlikeye Girdi mi? Hayır

SafePal İhlali (Ağustos 2026)

• Açıklanma Tarihi: 16 Ağustos 2026
• Kapsam: 39.798 müşteri
• Kaynak: Dahili sipariş takip eklentisindeki yetkilendirme hatası
• Fonlar Tehlikeye Girdi mi? Hayır

Temel Farklılıklar ve Çıkarımlar

1. Hacim: 2020 Ledger sızıntısı çok daha büyüktü (SafePal için 40 bine ve Trezor için ~14 bine kıyasla 1 milyon e-posta) ve veriler bir bilgisayar korsanlığı forumunda aktif olarak yayınlandı ve yıllarca süren oltalama saldırılarına yol açtı .

2. Saldırı Vektörü: Her ihlalin farklı bir kaynağı vardı; Ledger'ınki bir API anahtarı uzlaşması, Trezor'unkisi üçüncü taraf lojistik sağlayıcı ihlali, SafePal'ınki ise kendi dahili eklentisindeki bir yetkilendirme hatasıydı .

3. Her Üç Olayda da Güvende Kalan Unsurlar: Her durumda, kurtarma ifadeleri, özel anahtarlar ve cüzdan fonları tehlikeye girmedi ve çalınan kripto paraların doğrudan bu ihlallerle bağlantısı bulunamadı .

4. Birleşik Etki: Trezor (13 Ağustos) ve SafePal (16 Ağustos) ihlalleri arasındaki üç günlük süre, 53.000'den fazla donanım cüzdan müşteri kaydının açığa çıkmasına ve kripto topluluğu için genel oltalama riskinin artmasına neden oldu .