仮想通貨ウォレット大手のSafePalは16日、公式X（旧Twitter）アカウントで、注文追跡プラグインの欠陥により顧客情報の一部に外部からの不正アクセスがあったと公表した。対象は2025年3月2日から2026年4月11日までに注文した顧客約39,798人で、氏名、メールアドレス、配送先住所、電話番号、購入内容が流出したという。
同社はウォレットのシードフレーズや秘密鍵、パスワードなどの認証情報、銀行口座情報、クレジットカード番号、政府発行の身分証明書番号は今回の対象に含まれないと説明した。対象となった顧客には個別にメールで通知済みとし、注文番号と配送先の国から自身が対象かどうかを確認できるページも公開している。
SafePalはBinance Labsが出資するノンカストディアル型のウォレット企業で、ハードウェアウォレットやアプリ版ウォレットを世界で展開している。今回問題となった注文追跡プラグインは、購入した端末の配送状況を顧客が確認するための仕組みで、秘密鍵の管理機能とは別系統のシステムに当たる。
海外メディアのThe Blockは、SafePalが不正アクセスの根本原因を特定したのはごく最近だとしつつ、顧客が7月の時点でフィッシング被害に関する投稿をSNS上で行っていたと報じた。
SafePalは声明で「ウォレット本体、シードフレーズ、秘密鍵は安全だ」とした上で、欠陥は既に修正し追加のセキュリティ対策を導入したと説明した。同社はこの流出に関連するとみられる悪質なフィッシングサイトを30件以上閉鎖したことも明らかにしている。
同社は、シードフレーズや秘密鍵、パスワードを電話やメール、手紙などで求められても絶対に応じないよう呼びかけている。今回の情報流出を受け、なりすましや偽の返金案内、ファームウェア更新を装った詐欺メールなどが増える可能性があり、SafePal製品の購入履歴がある利用者は注意が必要だ。
