SafePal 曝数据泄露：近4万用户订单信息外泄，资金与私钥未受影响

加密钱包服务商 SafePal 披露了一起安全事件，近 4 万名客户的个人信息遭泄露，再次引发对加密货币生态中用户数据安全风险的关注。

SafePal 表示，此次事件影响了 2025 年 3 月 2 日至 2026 年 4 月 11 日期间下单的 39,798 名客户。泄露的信息包括客户姓名、邮寄地址和联系方式，但用户的资金、密码、私钥和助记词未受影响。这一区分很重要：漏洞似乎影响了 SafePal 的订单处理系统，而非保护用户加密钱包的基础安全设施。

SafePal 泄露事件是如何发生的

SafePal 表示，漏洞源于一个用于追踪客户订单的扩展程序。攻击者可通过操纵订单相关数据，访问其他客户的订单信息。公司称已修复该漏洞，并采取额外措施防止类似事件发生。

哪些 SafePal 客户数据被泄露？

此次泄露涉及与客户订单相关的个人信息，但未包括助记词、私钥、账户密码、银行信息、支付卡号或政府签发的身份证件。SafePal 也未发现攻击者直接访问客户加密资产持有情况的迹象。但这并不意味着泄露信息没有风险。姓名、地址和联系方式可能被攻击者用于构建高度定向的钓鱼攻击。知道某人购买过 SafePal 产品的骗子，可以伪造看似可信的电子邮件、电话或短信。

SafePal 警告用户防范钓鱼攻击

SafePal 提醒受影响客户高度警惕声称来自 SafePal 的主动联系。任何索要助记词、私钥或账户凭据的消息都应引起怀疑，无论其表面看起来多么可信。公司特别建议，若客户曾因欺诈性邮件、电话或短信而泄露私钥或助记词，应将该钱包视为已受影响，并立即将资产转移至新钱包。正规钱包服务商不会在常规客户支持中索要用户的助记词或私钥。

SafePal 修复漏洞并审查系统

事件发生后，SafePal 修复了漏洞并实施额外安全措施，同时聘请独立安全公司对其订单处理系统进行更广泛审查。SafePal 已通过官方安全邮箱通知受影响客户，并推出新的数据保留政策：订单处理系统中的个人信息自收集之日起仅保留 90 天。此外，公司已识别并移除超过 30 个与该事件相关的欺诈网站和钓鱼链接。

SafePal 用户如何核查数据

SafePal 已在其官网提供核查工具，客户可确认自己的信息是否受影响。对于受影响用户，最直接的风险可能是后续欺诈，而非加密货币直接被盗。个人信息可让攻击者伪装成钱包服务商、客服或其他可信方，最终诱骗受害者主动透露原始泄露中未涉及的信息。

加密钱包服务商面临的更广泛安全挑战

SafePal 事件也凸显了数字资产安全领域的深层问题：保护加密货币并不止于保护私钥。硬件钱包和自托管产品旨在将敏感加密信息与在线威胁隔离，但围绕这些产品运营的公司仍需通过网站、订单系统、支持平台和其他联网基础设施处理客户信息，这些系统可能成为攻击载体，即使钱包本身仍然安全。第三方风险管理和客户数据保护因此与传统钱包安全同样重要。

对加密货币用户而言，SafePal 事件最重要的启示或许是：数据泄露不一定要暴露私钥才会造成严重安全风险。攻击者掌握了客户的姓名、地址以及其使用某款钱包的信息，就可能发起定向社会工程攻击。随着数字资产用户规模扩大，安全不仅取决于保护区块链交易和私钥，还取决于保护围绕这些资产的个人信息。SafePal 事件提醒我们，安全边界远超钱包本身；自托管的基本准则始终不变：永远不要向任何人披露助记词或私钥，哪怕是自称来自可信加密公司的人。