Шестнадцатого августа производитель аппаратных криптокошельков SafePal официально раскрыл информацию об утечке данных примерно тридцати девяти тысяч семисот девяноста восьми пользователей. В распоряжении третьих лиц оказались имена, адреса доставки, номера телефонов, электронные почты и сведения о заказах клиентов. Инцидент не затронул критически важную информацию: сид-фразы, приватные ключи, пароли, банковские реквизиты, номера карт и документов, поскольку компания принципиально не собирает и не хранит такие данные. Команда проекта не обнаружила признаков получения злоумышленниками доступа к кошелькам или средствам пользователей.

Разработчики предупредили, что злоумышленники могут использовать утекшие сведения для проведения целевых атак. Мошенники могут звонить, писать или отправлять сообщения от имени службы поддержки, предлагать возврат средств, требовать обновить прошивку устройств или перенаправлять жертв на фишинговые ресурсы. В настоящее время SafePal активно мониторит поддельные ресурсы и добивается их блокировки. Уязвимость возникла из-за ошибки авторизации в плагине отслеживания заказов, который связан с клиентскими данными. Система некорректно обрабатывала доступ к информации, позволяя посторонним видеть заказы других клиентов. Разработчики сообщили, что к моменту публикации заявления проблема была исправлена, а защитные меры значительно усилены.

Инцидент коснулся клиентов, оформлявших заказы в период со второго марта две тысячи двадцать пятого года по одиннадцатое апреля две тысячи двадцать шестого года. В SafePal не уточнили, когда именно злоумышленники воспользовались уязвимостью и когда ее обнаружила команда проекта. Сейчас производитель аппаратных криптокошельков расследует произошедшее совместно с независимой компанией по кибербезопасности и планирует провести полный аудит всей системы обработки заказов. В соответствии с законодательством фирма сократила срок хранения данных в этой системе до девяноста дней и уведомила партнеров по логистике, попросив их проверить собственные системы на наличие аналогичных проблем. Напомним, что тринадцатого августа с похожей ситуацией столкнулся проект Trezor. Взлом его логистического партнера ShipMonk привел к утечке персональной информации почти четырнадцати тысяч клиентов.