約39,798人が影響、ウォレット認証情報は対象外
仮想通貨ウォレットプロバイダーのSafePal（セーフパル）は、注文追跡システムの認証上の欠陥により、39,798人の顧客情報が不正に閲覧された可能性があると公表した。
Dear community,
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal) August 16, 2026
コミュニティの皆様へ、SafePalウォレット、シードフレーズ、および秘密鍵は安全ですが、注文追跡プラグインに欠陥があり、一部のお客様の情報に不正アクセスが発生したことが判明しました。この問題は、追加の…
シードフレーズや秘密鍵などは対象に含まれていないものの、流出した注文情報を悪用するフィッシングやなりすましへの警戒を呼びかけている。
注文追跡プラグインの欠陥が原因
問題が確認されたのは、SafePalが注文追跡に利用していたプラグインの認証部分だ。特定の条件下では、権限を持たない人物でも別の顧客の注文情報を閲覧できる状態になっていた。影響を受けたのは2025年3月2日から2026年4月11日までの注文で、氏名、メールアドレス、配送先住所、電話番号、購入内容などが含まれる。
SafePalが今回の問題と一致するフィッシングに関する報告を初めて受けたのは5月初旬だった。当初は単発の事例として扱っていたが、その後、正式なセキュリティ調査へ移行。7月には注文処理の仕組み全体の見直しと再構築に着手し、その過程でプラグインの欠陥を確認したという。
さらに、2025年9月から2026年4月にかけて、設定エラーによって予定されていたデータ削除処理が正常に動作していなかったことも判明した。この不具合自体が不正アクセスの原因ではないが、本来削除されるはずだった古い注文記録が長く残り、影響範囲が2025年3月まで広がる一因となった。
SafePalはすでに脆弱性を修正し、追加のアクセス制御を導入。関連する注文処理システムで扱う個人データの保持期間も、法的な保存義務がある場合を除いて原則90日間に短縮した。
流出情報を使ったフィッシングに注意
今回の侵害では、シードフレーズ、秘密鍵、ウォレットパスワード、銀行口座情報、クレジットカード番号、政府発行の身分証明書番号などは漏えいしていない。SafePalは、ウォレットへのアクセスや顧客資産そのものが侵害された証拠も確認されていないとしている。
一方、氏名や住所、購入内容といった情報は、標的型フィッシングやなりすましに利用される恐れがある。SafePalは、サポート担当者を装った電話やメール、SMS、郵送物、偽の返金案内、ソフトウェアやファームウェアの更新要求、フィッシングサイトへの誘導などを想定される手口として挙げている。
同社はすでに、今回の事件に関連する30以上の不正ウェブサイトやフィッシングリンクを特定し、削除した。影響を受けた顧客には個別に通知しており、注文情報が流出したという理由だけで仮想通貨を別のウォレットへ移す必要はないと説明している。
ただし、不審なウェブサイトやメールなどにシードフレーズや秘密鍵を入力してしまった場合は、そのウォレットを侵害されたものとして扱い、新しいウォレットを作成して残っている資産を移すよう推奨している。SafePalは今後、独立した第三者のセキュリティ企業を起用し、修正内容の検証と注文処理システム全体の追加調査を進める方針だ。
