SafePal 資料外洩 2026：近 4 萬筆訂單資訊曝光，比對 Ledger 與 Trezor 事件

2026 年 8 月 16 日，硬體錢包供應商 SafePal 揭露一起資料外洩事件，導致約 39,798 名顧客的個人訂單資訊遭到未經授權存取 。此次事件源於 SafePal 訂單追蹤外掛程式中的一個授權漏洞，該漏洞讓未經授權的第三方能夠存取 2025 年 3 月 2 日至 2026 年 4 月 11 日期間所下訂單的客戶資料 。SafePal 強調，沒有任何錢包憑證、種子詞、私鑰或金融資料遭到洩漏 ，但外洩的資料仍為受影響的用戶帶來了顯著的網路釣魚風險 。值得注意的是，此次 SafePal 事件僅在 Trezor 揭露另一起資料外洩事件的 3 天後發生，使得一週內被揭露的硬體錢包客戶資料紀錄總數超過 53,000 筆 。

SafePal 資料外洩中哪些資料被竊

SafePal 確認，在事件發生期間，以下資訊可能已被攻擊者存取 ：

• 客戶姓名
• 電子郵件地址
• 收件地址
• 電話號碼
• 購買詳情與訂單歷史

SafePal 也明確指出，以下敏感資料 未 被存取，因為該公司從不收集或儲存客戶的此類資訊 ：

• 種子詞
• 私鑰
• 錢包密碼或其他錢包憑證
• 銀行帳戶資訊
• 支付卡號碼
• 政府核發的身分證字號

該公司並確認，沒有證據顯示此事件導致 SafePal 錢包或資金遭存取 。

資料外洩如何發生

SafePal 在其訂單追蹤外掛程式中發現一個授權漏洞——該元件用於監控客戶訂單 。這個弱點允許某位客戶在未經適當授權的情況下，查看另一位客戶的訂單資料 。問題在發現後已修復，SafePal 表示已實施額外的安全措施 。

此次外洩影響了約 13 個月期間（2025 年 3 月 2 日至 2026 年 4 月 11 日）的訂單 。SafePal 於 2026 年 8 月 16 日透過 X 平台貼文及其官方部落格的安全更新揭露了此事件 。

網路釣魚風險與警告

雖然 SafePal 錢包和資金保持安全，但外洩的資料對網路犯罪分子來說極具吸引力。經確認的姓名、實際地址和購買歷史記錄，為針對性的網路釣魚、冒充詐騙和身分盜竊提供了絕佳的素材 。

SafePal 警告受影響的用戶要對釣魚和冒充企圖保持警惕 。業界觀察者指出，已有超過 30 個釣魚網站與此次洩漏有關 。由於這些資料證實了受害者擁有的特定硬體錢包型號及其送貨地址，使得詐騙手法極具說服力，風險尤其嚴峻。

如何查詢是否受影響

SafePal 已透過電子郵件通知受影響的客戶，並提供一個官方驗證頁面，客戶可以使用訂單號碼和收貨國家/地區來查詢自己的狀態 。

與過去硬體錢包資料外洩事件的比較

SafePal 事件是大約一週內硬體錢包產業發生的第三起重大資料外洩事件，其模式也與 2020 年大規模的 Ledger 資料洩漏事件相似。

2020 年 Ledger 資料外洩

• 揭露日期： 2020 年 7 月
• 影響範圍： 約 100 萬個電子郵件地址，以及 272,000 筆詳細客戶記錄（包含全名、地址、電話號碼）
• 源頭： 遭入侵的電子商務 API 金鑰
• 資金是否受損？ 否
• 後續發展： 外洩資料於 2020 年 12 月在 RaidForums 上被公開，導致 Ledger 客戶多年來持續遭受網路釣魚攻擊

2026 年 8 月 Trezor 資料外洩

• 揭露日期： 2026 年 8 月 13 日
• 影響範圍： 13,689 名客戶——其中 11,742 人完整個資外洩（姓名、電子郵件、電話、收件地址）；1,947 人部分外洩
• 源頭： 第三方物流供應商 ShipMonk 遭入侵
• 資金是否受損？ 否

2026 年 8 月 SafePal 資料外洩

• 揭露日期： 2026 年 8 月 16 日
• 影響範圍： 39,798 名客戶
• 源頭： 內部訂單追蹤外掛程式的授權漏洞
• 資金是否受損？ 否

主要差異與重點

1. 規模： 2020 年的 Ledger 資料洩漏規模遠大得多（100 萬個電子郵件 vs. SafePal 的 4 萬個和 Trezor 的約 1.4 萬個），且其資料被積極發布在駭客論壇上，導致持續多年的網路釣魚攻擊 。

2. 入侵途徑： 每次事件的源頭都不同——Ledger 是 API 金鑰被盜；Trezor 是第三方物流商遭駭；SafePal 則是其內部外掛程式的授權漏洞 。

3. 三次事件中共同保持安全的項目： 在所有案例中，種子詞、私鑰和錢包資金均未受損，也沒有任何被盜的加密貨幣直接與這些事件相關 。

4. 合併影響： Trezor（8 月 13 日）和 SafePal（8 月 16 日）事件僅相隔三天，使得超過 53,000 筆硬體錢包客戶記錄流入公開領域，大大增加了整個加密貨幣社群的網路釣魚風險 。