SafePal 数据泄露事件：发生了什么，哪些数据被泄露，与 Ledger 和 Trezor 事件对比

SafePal 泄露了哪些数据？

SafePal 确认，在数据暴露期间，攻击者可以访问以下信息 ：

• 客户姓名
• 电子邮件地址
• 收货地址
• 电话号码
• 购买详情和订单历史

SafePal 明确声明，以下敏感数据并未被访问，因为该公司从未从客户处收集或存储此类信息 ：

• 种子短语
• 私钥
• 钱包密码或其他钱包凭据
• 银行账户信息
• 支付卡号
• 政府颁发的身份证号码

该公司还确认，没有证据表明该事件导致 SafePal 钱包或资金被访问 。

事件是如何发生的？

SafePal 在其用于监控客户订单的订单追踪插件中发现了一个授权缺陷 。该漏洞使得一个客户在未获得适当授权的情况下，能够查看另一位客户的订单数据 。该问题在被发现后已得到修复，SafePal 表示已实施额外的安全措施 。

此次泄露涉及大约 13 个月（从 2025 年 3 月 2 日到 2026 年 4 月 11 日）内的订单 。SafePal 于 2026 年 8 月 16 日通过 X（原 Twitter）帖子以及其官方博客的安全更新披露了此事件 。

钓鱼风险与警告

尽管 SafePal 的钱包和资金依然安全，但泄露的数据对网络犯罪分子极具吸引力。经过验证的姓名、物理地址和购买历史为有针对性的网络钓鱼、冒充他人和身份盗窃提供了理想素材 。

SafePal 警告受影响的用户对网络钓鱼和冒充行为保持警惕 。行业观察人士指出，已有超过 30 个与该泄露事件相关的钓鱼网站被识别 。风险尤其严重，因为泄露的数据证实了受害者拥有特定型号的硬件钱包，甚至包括其收货地址，这使得诈骗者能够实施极具说服力的欺诈活动。

如何检查自己是否受影响？

SafePal 已通过电子邮件通知受影响的客户，并提供了一个官方验证页面，客户可以使用自己的订单号和发货国家/地区在该页面上查询自己的数据是否被泄露 。

与以往硬件钱包泄露事件的对比

此次 SafePal 数据泄露事件是大致一周内硬件钱包行业发生的第三起重大数据泄露事件，其模式与 2020 年大规模的 Ledger 泄露事件相似。

2020年 Ledger 泄露事件

• 披露日期： 2020 年 7 月
• 影响范围： 约 100 万封电子邮件和 27.2 万条详细客户记录（包含姓名、地址、电话号码）
• 泄露源头： 被攻破的电子商务 API 密钥
• 资金是否受影响： 否
• 后续影响： 被盗数据于 2020 年 12 月在 RaidForums 上被公开，导致针对 Ledger 客户的网络钓鱼活动持续多年

Trezor 泄露事件（2026年8月）

• 披露日期： 2026 年 8 月 13 日
• 影响范围： 13,689 名客户——其中 11,742 人的完整个人身份信息（姓名、电子邮件、电话号码、收货地址）被泄露；另有 1,947 人部分信息受影响
• 泄露源头： 第三方物流供应商 ShipMonk 被攻击
• 资金是否受影响： 否

SafePal 泄露事件（2026年8月）

• 披露日期： 2026 年 8 月 16 日
• 影响范围： 39,798 名客户
• 泄露源头： 内部订单追踪插件授权缺陷
• 资金是否受影响： 否

主要差异与启示

1. 规模： 2020 年的 Ledger 泄露事件规模大得多（100 万封电子邮件对比 SafePal 的 4 万和 Trezor 的约 1.4 万），且其数据被主动发布到黑客论坛，导致了持续多年的网络钓鱼攻击 。

2. 攻击途径： 每次泄露的起因不同——Ledger 是 API 密钥泄露；Trezor 是第三方物流供应商被黑；SafePal 则是其自身内部插件存在授权缺陷 。

3. 共同点： 在所有三起事件中，用户的种子短语、私钥和钱包资金均未受影响，也没有任何加密货币被盗直接与这些泄露事件相关联 。

4. 叠加影响： Trezor（8 月 13 日）和 SafePal（8 月 16 日）的泄露事件仅相隔三天，使得超 53,000 条硬件钱包客户记录暴露于风险之中，进一步放大了加密社区面临的网络钓鱼风险整体水平 。