シードフレーズは再発行できる。パスワードはリセット可能だ。しかし、住所は変更できない。SafePalで発生した個人情報流出は、日曜日に約4万件が明らかになった。
その3日前には、Trezorも1万3689件を流出させた。2社のハードウェアウォレットメーカーが合計で5万3487件の顧客情報を公開状態にした。どちらの企業でも、暗号資産自体の流出はなかった。
SafePalのデータ漏えいで明らかになったこと
SafePalは、3万9798人の顧客が被害を受けたと発表した。漏えい内容は氏名、メールアドレス、電話番号、配送先住所、注文情報。
Dear community,
— SafePal - Crypto Wallet (@SafePal) August 16, 2026
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
原因は、SafePalが注文管理で用いていたプラグインの不具合だった。一部のケースでは、他の顧客の情報を閲覧できる状態だった。
影響を受けた注文期間は2025年3月2日から2026年4月11日まで。この期間は13か月以上続いていた。
シードフレーズ、秘密鍵、銀行情報、カード番号は流出していない。SafePalは不具合を修正し、注文データの保管期間を90日に短縮したと公表している。
SafePalトークン（SFP）の価格推移 出典： BeInCrypto SafePalトークン（SFP）は日曜日にほとんど動かず、0.23ドル付近で取引された。ここが重要な点である。今回は経済的な被害は発生していない。
なぜ流出した住所は流出したパスワードより長く使われるのか
Trezorは8月10日に自社の顧客データ漏えいを把握した。出荷業者のShipMonkの情報漏えいによるものだった。
同社の案内によれば、Trezor購入者1万1742人の情報が完全に流出した。氏名、メールアドレス、電話番号、自宅住所がすべて漏れた。
2つのケースは根本が異なる。Trezorは取引先から漏えい。SafePalは自社システムから流出である。
しかし、いずれの名簿も攻撃者には等しく価値がある。ハードウェアウォレットの購入者は、取引所外で暗号資産を自主管理している可能性が高い。
TrezorとSafePal事案の違いと共通点 つまり、これらのリストは通常の取引所漏えいよりも対象が限定される。自主管理ユーザーと実際の住所が特定できる形で一致する。
検察当局はすでにこの手口を把握
5月には米検察当局が3人のテネシー州の男を、カリフォルニア全域での650万ドル強盗事件で起訴したと発表した。
#FBI CASE UPDATE: Three men have been indicted on robbery, kidnapping, and conspiracy charges related to a million cryptocurrency robbery spree throughout the Bay Area and LA. Elijah Armstrong, Nino Chindavanh, and Jayden Rucker - all from Tennessee- were charged on Conspiracy… pic.twitter.com/mIQQKjS3K2
— FBI SanFrancisco (@FBISanFrancisco) May 11, 2026
起訴状によれば、男たちは配達員を装って被害者の自宅内部まで接近していた。
出荷記録が流出すれば、こうした手口が容易になる。購入者の名前、住所、パッケージの内容が記載されているためだ。
フィッシング被害は小さい問題にすぎない。SafePalはこれまで30超の偽サイトや詐欺リンクを削除している。
本物の通知はsecurity@safepal.comから届く。それ以外のアドレスから来たものはすべて攻撃と見なすべきだ。
Ledgerはこの長期的なリスクを示している。同社の発表によれば、2020年の漏えいで約27万2000件の郵送先住所・氏名・電話番号が流出した。
6年が経過しても、Ledgerは郵送によるフィッシング手紙について顧客に警告し続けている。同社はこれらの手紙が2020年の流出と直接関連するとの説明はしていない。
詐欺ドメインは閉鎖され、メールはフィルタされる。しかし、住所情報は消えない。
Trezorは現在、匿名配送オプションの導入を計画している。欧州連合には9月、米国には年内に導入予定。ただし、すでに流出した5万3487件には間に合わない。
jp.beincrypto.com でLockridge Okothによるオリジナル記事 今週5万3000人超の暗号資産保有者が金銭以外を喪失 を読む