SafePal в ноябре 2026 сообщила о бумажных письмах с QR-кодом после утечки данных 39 798 покупателей

SafePal подтвердила в четверг, что от её имени рассылают поддельные письма владельцам аппаратных кошельков. Об этом компания написала в аккаунте X и связала рассылку с августовской утечкой данных.

Письма приходят по домашним адресам клиентов в Италии. В них указаны настоящие имя, адрес и детали заказа — эти сведения попали в открытый доступ при взломе, о котором SafePal сообщила 16 августа. Тогда компания раскрыла информацию о 39 798 клиентах, оформивших покупку с 2 марта 2025 по 11 апреля 2026 года.

Утекли имена, электронная почта, адреса, телефоны и детали заказов. Секретные фразы, приватные ключи и номера карт, по утверждению компании, не пострадали.

Уязвимость, через которую утекли данные, была в функции отслеживания заказа: из-за ошибки авторизации при определённых условиях можно было получить доступ к данным заказов других клиентов. Компания её закрыла. После утечки SafePal сократила срок хранения персональных данных в системе обработки заказов до 90 дней, если это допускает законодательство. 30 октября SafePal объявила, что независимый аудит безопасности, который провела Cure53, не выявил уязвимостей в проверенной системе.

Что просят в письме

В обращении говорится, что при проверке уже отправленных устройств обнаружена «проблема безопасности прошивки». QR-код ведёт на поддельную копию сайта SafePal, размещённую в сети Arweave — платформе для постоянного хранения файлов. Персональная ссылка подставляет данные получателя, и на странице отображаются реальные данные заказа клиента — это и придаёт письму убедительность.

Дальше пользователю предлагают ввести секретную фразу восстановления. Если это сделать, злоумышленник получит полный контроль над криптоактивами на любом устройстве.

«Эти письма не отправлены SafePal, инфраструктура кошельков по-прежнему защищена. SafePal никогда не рассылает физические письма и не просит вводить сид-фразу», — заявила команда.

Компания просит получателей не сканировать QR-коды и не переходить по ссылкам, удалять такие письма и сообщать о подделках на странице scam-protection, приложив фотографию QR-кода: личные данные в обращении можно скрыть, но сам код следует оставить видимым — так мошеннические сайты можно быстрее заблокировать. Сообщать о попытках фишинга SafePal советует и в местные правоохранительные органы.

Если секретная фраза уже введена на подозрительной странице, кошелёк следует считать скомпрометированным: нужно создать новый кошелёк на доверенном устройстве или в официальном приложении и перевести туда активы.

После инцидента компания подключила антифишинговых провайдеров, в том числе Phishfort, — они выявляют мошеннические сайты и попытки подделки личности. По её данным, после августовской утечки заблокированы более 30 мошеннических сайтов и фишинговых ссылок, а для пострадавших открыт отдельный канал поддержки.

Почему утечки домашних адресов выгодны мошенникам

Пользователи Ledger уже сталкивались с похожим. После утечки 2020 года, когда в общий доступ попали почтовые адреса около 272 000 покупателей, в 2025 году мошенники также подделывали письма от имени Ledger.

У партнёра Trezor по логистике в августе произошла утечка 13 689 клиентских записей. При этом и Trezor, и SafePal не сообщали о взломах самих кошельков.