SafePal 洩漏咗啲咩資料？

SafePal 確認，喺今次事件入面，以下資料曾經被未經授權存取 ：

• 客戶姓名
• 電郵地址
• 送貨地址
• 電話號碼
• 購買詳情同訂單記錄

而以下敏感資料就 冇 被存取，因為 SafePal 從來唔收集或者儲存呢啲客戶資訊 ：

• 種子短語
• 私鑰
• 錢包密碼或其他錢包憑證
• 銀行戶口資料
• 信用卡號碼
• 政府發出嘅身份證明文件號碼

公司亦確認，冇證據顯示今次事件會影響 SafePal 錢包或者資金嘅安全性 。

外洩點樣發生？

SafePal 發現，佢哋嘅訂單追蹤插件存在授權漏洞 。呢個漏洞令到一個客戶可以睇到另一個客戶嘅訂單資料，而唔需要適當嘅授權 。問題發現之後已經立即修復，SafePal 話已經加咗額外嘅安全措施 。

洩漏涵蓋咗大約 13 個月嘅訂單，即係由 2025 年 3 月 2 日到 2026 年 4 月 11 日 。SafePal 透過 X（前稱 Twitter）同官方網誌喺 2026 年 8 月 16 日公布呢單事件 。

釣魚風險同警告

雖然 SafePal 嘅錢包同資金係安全嘅，但洩漏出嚟嘅資料對網絡犯罪份子嚟講非常有用。有晒真實姓名、地址同購買記錄，就好容易俾人用嚟做針對性嘅釣魚攻擊、假冒同身份盜用 。

SafePal 已經提醒受影響用戶要提防釣魚同假冒攻擊 。業界觀察人士指出，已經有超過 30 個釣魚網站同呢次洩漏有關 。因為資料清楚顯示受害人擁有邊款硬件錢包，甚至連送貨地址都有，所以呢啲騙局可以做到好逼真。

點樣知道自己有冇受影響？

SafePal 已經透過電郵通知受影響嘅客戶，並且提供咗一個官方驗證頁面，客戶可以用訂單號碼同送貨國家嚟檢查自己嘅狀態 。

同以往硬件錢包洩漏事件嘅比較

SafePal 嘅洩漏係一個禮拜內第三宗主要嘅硬件錢包資料外洩事件，同 2020 年 Ledger 嘅大型洩漏模式相似。

2020 年 Ledger 洩漏

• 公布日期： 2020 年 7 月
• 規模： 約 100 萬個電郵地址，同 272,000 份詳細客戶記錄（姓名、地址、電話號碼）
• 原因： 電子商貿 API 金鑰被盜用
• 資金有冇受影響？ 冇
• 後續： 被盜資料喺 2020 年 12 月被公開喺 RaidForums 論壇，導致 Ledger 客戶喺之後幾年不斷受到釣魚攻擊

2026 年 8 月 Trezor 洩漏

• 公布日期： 2026 年 8 月 13 日
• 規模： 13,689 名客戶 — 11,742 人嘅完整個人資料（姓名、電郵、電話、送貨地址）外洩；1,947 人嘅部分資料外洩
• 原因： 第三方物流供應商 ShipMonk 被入侵
• 資金有冇受影響？ 冇

2026 年 8 月 SafePal 洩漏

• 公布日期： 2026 年 8 月 16 日
• 規模： 39,798 名客戶
• 原因： 內部訂單追蹤插件嘅授權漏洞
• 資金有冇受影響？ 冇

主要分別同教訓

1. 規模： 2020 年 Ledger 洩漏大好多（100 萬電郵 vs SafePal 嘅 4 萬同 Trezor 嘅約 1.4 萬），而且資料被放上黑客論壇公開，導致持續多年嘅釣魚攻擊 。

2. 攻擊途徑： 每單洩漏嘅源頭都唔同 — Ledger 係 API 金鑰問題、Trezor 係第三方物流商出事、SafePal 係自己內部插件嘅漏洞 。

3. 三單事件共通點： 全部都係種子短語、私鑰同錢包資金冇受影響，冇一單導致加密貨幣直接損失 。

4. 疊加影響： Trezor（8 月 13 日）同 SafePal（8 月 16 日）喺三日內接連出事，令超過 53,000 份硬件錢包客戶記錄曝光，大大增加咗整個加密貨幣社群嘅釣魚風險 。

SafePal 洩漏咗啲咩資料？

SafePal 確認，喺今次事件入面，以下資料曾經被未經授權存取 ：

• 客戶姓名
• 電郵地址
• 送貨地址
• 電話號碼
• 購買詳情同訂單記錄

而以下敏感資料就 冇 被存取，因為 SafePal 從來唔收集或者儲存呢啲客戶資訊 ：

• 種子短語
• 私鑰
• 錢包密碼或其他錢包憑證
• 銀行戶口資料
• 信用卡號碼
• 政府發出嘅身份證明文件號碼

公司亦確認，冇證據顯示今次事件會影響 SafePal 錢包或者資金嘅安全性 。

外洩點樣發生？

SafePal 發現，佢哋嘅訂單追蹤插件存在授權漏洞 。呢個漏洞令到一個客戶可以睇到另一個客戶嘅訂單資料，而唔需要適當嘅授權 。問題發現之後已經立即修復，SafePal 話已經加咗額外嘅安全措施 。

洩漏涵蓋咗大約 13 個月嘅訂單，即係由 2025 年 3 月 2 日到 2026 年 4 月 11 日 。SafePal 透過 X（前稱 Twitter）同官方網誌喺 2026 年 8 月 16 日公布呢單事件 。

釣魚風險同警告

雖然 SafePal 嘅錢包同資金係安全嘅，但洩漏出嚟嘅資料對網絡犯罪份子嚟講非常有用。有晒真實姓名、地址同購買記錄，就好容易俾人用嚟做針對性嘅釣魚攻擊、假冒同身份盜用 。

SafePal 已經提醒受影響用戶要提防釣魚同假冒攻擊 。業界觀察人士指出，已經有超過 30 個釣魚網站同呢次洩漏有關 。因為資料清楚顯示受害人擁有邊款硬件錢包，甚至連送貨地址都有，所以呢啲騙局可以做到好逼真。

點樣知道自己有冇受影響？

SafePal 已經透過電郵通知受影響嘅客戶，並且提供咗一個官方驗證頁面，客戶可以用訂單號碼同送貨國家嚟檢查自己嘅狀態 。

同以往硬件錢包洩漏事件嘅比較

SafePal 嘅洩漏係一個禮拜內第三宗主要嘅硬件錢包資料外洩事件，同 2020 年 Ledger 嘅大型洩漏模式相似。

2020 年 Ledger 洩漏

• 公布日期： 2020 年 7 月
• 規模： 約 100 萬個電郵地址，同 272,000 份詳細客戶記錄（姓名、地址、電話號碼）
• 原因： 電子商貿 API 金鑰被盜用
• 資金有冇受影響？ 冇
• 後續： 被盜資料喺 2020 年 12 月被公開喺 RaidForums 論壇，導致 Ledger 客戶喺之後幾年不斷受到釣魚攻擊

2026 年 8 月 Trezor 洩漏

• 公布日期： 2026 年 8 月 13 日
• 規模： 13,689 名客戶 — 11,742 人嘅完整個人資料（姓名、電郵、電話、送貨地址）外洩；1,947 人嘅部分資料外洩
• 原因： 第三方物流供應商 ShipMonk 被入侵
• 資金有冇受影響？ 冇

2026 年 8 月 SafePal 洩漏

• 公布日期： 2026 年 8 月 16 日
• 規模： 39,798 名客戶
• 原因： 內部訂單追蹤插件嘅授權漏洞
• 資金有冇受影響？ 冇

主要分別同教訓

1. 規模： 2020 年 Ledger 洩漏大好多（100 萬電郵 vs SafePal 嘅 4 萬同 Trezor 嘅約 1.4 萬），而且資料被放上黑客論壇公開，導致持續多年嘅釣魚攻擊 。

2. 攻擊途徑： 每單洩漏嘅源頭都唔同 — Ledger 係 API 金鑰問題、Trezor 係第三方物流商出事、SafePal 係自己內部插件嘅漏洞 。

3. 三單事件共通點： 全部都係種子短語、私鑰同錢包資金冇受影響，冇一單導致加密貨幣直接損失 。

4. 疊加影響： Trezor（8 月 13 日）同 SafePal（8 月 16 日）喺三日內接連出事，令超過 53,000 份硬件錢包客戶記錄曝光，大大增加咗整個加密貨幣社群嘅釣魚風險 。