暗号資産ハードウェアウォレットメーカーのSafePalは、約3万9798人の顧客の注文情報が流出したデータ侵害を公表した。原因は、顧客が配送状況を追跡できるようにするために利用していたサードパーティ製プラグインの認可(アクセス制御)上の欠陥にあるという。

この欠陥は、アクセス制御のない荷物追跡システムのような形で悪用された。リクエスト内の注文番号を書き換えるだけで、ある顧客が別の顧客の領収書や配送状況の詳細情報を閲覧できてしまう仕組みだったのだ。影響を受けたのは2025年3月2日から2026年4月11日までに行われた注文で、流出した情報には顧客の氏名、メールアドレス、配送先住所、電話番号、購入関連の詳細情報が含まれる。

SafePal Discloses Order-Data Breach Affecting Nearly 40,000 Customers
Image via @WuBlockchain on X

流出しなかった情報

SafePalは公式ブログに掲載したセキュリティアップデートの中で、シードフレーズや秘密鍵、ウォレットのパスワード、決済情報、政府発行の身分証明書は今回の影響を受けておらず、攻撃者が顧客の暗号資産ウォレットや資金にアクセスした形跡も確認されていないと説明した。ハードウェアウォレットメーカーにとって、この違いは「深刻な不都合」と「資金が流出する大惨事」を分ける重要な境界線だ。流出した情報自体は、標的型フィッシングに悪用される恐れはあるものの、今回の欠陥そのものを通じた直接的な資産窃取にはつながらない。

対応と通知

同社は脆弱性をすでに修正し、追加のセキュリティ対策を導入したうえで、影響を受けた顧客全員にメールで個別に通知したとしている。またSafePalは、独立した第三者のセキュリティ企業に修正内容の監査と、今後の注文処理プロセス全体の見直しを依頼したことも明らかにした。

関連記事: トークン化株式の保有者数が131万人に倍増、取引高は179%急増

ハードウェアウォレットメーカーに繰り返し付きまとうリスク

今回の事案は、暗号資産ハードウェアウォレット企業が2種類の異なるセキュリティリスクを抱えていることを改めて示している。一つはデバイス自体の暗号技術上の堅牢性、もう一つはその周辺に存在する注文追跡や配送、カスタマーサポートといった、ごくありふれたEコマース基盤のリスクだ。SafePalのコアとなるウォレットセキュリティ自体は侵害されていないとみられるが、今回の漏えいは実名と配送先住所、そしてハードウェアウォレットを実際に所有しているという事実を結びつけたリストを攻撃者の手に渡すことになる。こうした情報は業界内で過去にも、実際の注文詳細情報を引き合いに出す偽サポート電話やフィッシングメールで標的を狙うために悪用されてきた。