暗号資産（仮想通貨）ウォレットを手がけるセーフパル（SafePal）は8月16日、約39,798人分の顧客注文情報に外部から不正アクセスがあったと公表しました。漏洩対象は氏名やメールアドレス、配送先住所、電話番号、購入詳細で、フィッシングやなりすましに悪用される可能性があるため、警戒が必要です。

対象になったのは、2025年3月2日から2026年4月11日までに注文した顧客の情報です。原因は注文追跡プラグインの認可不備で、注文関連データの一部に外部アクセスが可能な状態になっていました。

一方、シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座情報、カード番号、政府発行の身分証番号、保有資産には影響がなかったとしています。セーフパルは「ハードウェアウォレット、秘密鍵、シードフレーズ、暗号資産は安全で影響を受けていない」と明記しました。

今回の事案では、資産そのものが流出していなくても、注文者の氏名や住所、連絡先が漏れたことで、偽メールや偽サイトを使った標的型の詐欺に悪用されるおそれがあります。特にハードウェアウォレット購入者は、サポートや配送確認を装う連絡を受けた場合、シードフレーズの入力や秘密情報の送信を求められても応じないことが重要です。

セーフパルは問題を修正し、追加のセキュリティ対策を導入しました。第三者のセキュリティ企業による検証も進めており、顧客情報の保持期間は90日に短縮したとしています。あわせて、30件を超えるフィッシングサイトや不正リンクを削除しました。

影響を受けた顧客には、[email protected] のアドレスから個別に通知メールを送信済みです。利用者向けには確認用ページも公開し、公式サイトのURLを手入力してアクセスすること、不審な連絡やサイトを見つけた場合は報告することを呼びかけています。

SafePal S1など一部のハードウェアウォレットは秘密鍵をオフライン環境で管理できる点が強みですが、購入情報や連絡先が漏れると、その外側を狙う攻撃に悪用されるおそれがあります。今回の公表は、ウォレット本体の安全性と、周辺サービスの個人情報管理が別のリスクとして存在することを改めて示唆しています。

参考元：Safepal