暗号資産ウォレットのセーフパル、顧客約4万人の個人情報流出　フィッシングに注意

暗号資産のハードウエアウォレットを手がけるセーフパル（SafePal）は、注文追跡システムの認証上の欠陥により、顧客約4万人の個人情報が外部に流出したと明らかにした。

暗号資産メディアのザ・ブロックが8月16日に伝えたところによると、セーフパルはXへの投稿で「注文追跡システムの認証欠陥により、顧客3万9798人の個人情報に不正アクセスがあった」と公表した。対象は2025年3月2日から2026年4月11日までに注文した顧客で、流出した情報には氏名、電子メールアドレス、配送先住所、電話番号、購入履歴が含まれる。

同社は、シードフレーズ、秘密鍵、ウォレットのパスワードといったウォレット認証情報のほか、銀行口座情報、決済カード番号、政府発行の身分証番号は流出していないと説明した。ウォレットへのアクセスや資産が侵害された証拠も見つかっていないという。

一方で、セーフパルは流出した顧客を狙った二次被害に警鐘を鳴らした。攻撃者が同社社員を装い、ファームウエア更新や返金、交換機器の提供を口実にウォレット認証情報の窃取を試みる恐れがあるためだ。

セーフパルは、欠陥がいつ持ち込まれたのか、顧客情報への最初のアクセスがいつだったのか、何人の攻撃者がデータを確保したのかは明らかにしていない。ザ・ブロックの電子メールでの問い合わせにも、すぐには回答しなかった。

今回の公表前から、被害を示す兆候は出ていた。7月3日にレディットへ投稿された内容によると、ある利用者は「氏名、住所、電話番号、電子メール、購入履歴を知っている何者かから連絡を受けた」として、詐欺サイト「safepal.support」に誘導されたと訴えた。セーフパルは、関連する詐欺サイトやフィッシング用リンクをこれまでに30件余り特定し、遮断したと説明した。

今回の事案は、ハードウエアウォレット業界で相次ぐ顧客データ流出の一例でもある。トレザー（Trezor）の配送パートナーであるシップモンク（ShipMonk）でも、約1万4000人分の顧客情報が流出した。レジャー（Ledger）でも1月、第三者のコマース事業者を通じて一部顧客情報が露出した。各社は、ウォレット本体や秘密鍵そのものは安全だとしている。