暗号資産ハードウェアウォレットを手がけるSafePalが、顧客の個人情報が漏えいするセキュリティ事故を公表した。流出したのは氏名や住所、連絡先など注文に関する情報で、対象は約39,800人にのぼる。
秘密鍵やシードフレーズ、暗号資産そのものには影響がないとSafePalは説明している。一方で、影響を受けた利用者にはフィッシング詐欺やなりすましのリスクが高まると注意を呼びかけている。
SafePalで何が起きたのか
SafePalは8月16日、顧客の注文情報を追跡するプラグインに「認可の欠陥」があったと発表した。この欠陥により、第三者が他の顧客の注文内容を閲覧できる状態になっていたという。
たとえるなら、通販サイトの荷物追跡システムで、注文番号を書き換えるだけで他人の領収書や配送先情報をのぞき見できてしまうイメージだ。本来は本人だけがアクセスできるはずのデータに、認可の壁が十分に機能していなかった。
この事故で影響を受けたのは、2025年3月2日から2026年4月11日までの間に注文した39,798人分のデータだ。流出した情報には氏名、住所、連絡先が含まれる。
暗号資産と秘密鍵は無事
SafePalは、ウォレットの根幹となるセキュリティは保たれていると強調する。シードフレーズ、秘密鍵、銀行のパスワード、口座情報、カード番号、政府発行の身分証明書は影響を受けていない。
シードフレーズとは、ウォレットを復元するための合言葉のようなものだ。これが漏れると第三者が資産を自由に動かせるため、暗号資産ウォレットでは最も厳重に守るべき情報とされる。今回はこの根幹部分が無事だった点が重要だ。
ただしSafePalは、フィッシングメールや電話、手紙などで秘密鍵やシードフレーズを教えてしまった利用者に対しては、ウォレットを危険な状態とみなし、新しいウォレットへ資産を移すよう呼びかけている。
なぜこのタイミングで明らかになったのか
SafePalが公式ブログでセキュリティ更新を公開したのは8月16日。影響を受けた顧客には同日、[email protected]からメールで通知を送ったとしている。
同社は今回の事故を受け、すでに脆弱性を修正済みだ。さらに独立した第三者セキュリティ企業を雇い、修正内容と注文処理システムの監査を依頼したという。
個人データの保管期間も見直し、注文処理システム上では収集日から90日間のみ保持する方針に変更した。加えて、この事故に関連する30件以上の偽サイトやフィッシングリンクを特定し、削除したとSafePalは説明している。
利用者が確認できる手段も用意
SafePalは自社サイトに確認ツールを設置し、利用者が自分のデータが影響を受けたかどうかを調べられるようにした。対象者はまずこのツールで確認するのがよい。
あわせて、不審なメールや電話には応じないことが重要だ。特に秘密鍵やシードフレーズを尋ねる連絡はすべて詐欺だと考えてよい。正規の企業がこれらの情報を尋ねることは絶対にない。
ハードウェアウォレット業界への影響
今回のSafePalの事故は、直近のColdcardハードウェアウォレットのハッキング事件に続くものだ。Coldcardの事件では攻撃者が少なくとも1億2,000万ドル相当のビットコインを盗んだと報じられている。
2つの事件は、ハードウェアウォレットそのものに構造的な弱点があることを示すものではない。SafePalの事故は注文管理システムという周辺部分の問題であり、Coldcardの事件は同社のソフトウェアと運用体制が狙われた。
ただし、暗号資産の保管方法に「絶対安全」はないとも言える。資産の集中リスクを評価し、必要に応じて保有資産とウォレット自体の分散を検討する動きが一層進む可能性がある。
ハードウェアウォレットとは何か
ハードウェアウォレットは、秘密鍵をインターネットから切り離された専用端末に保管する仕組みだ。ソフトウェアウォレットに比べて、遠隔からのハッキングに強いとされる。
SafePalはこのハードウェアウォレットとソフトウェアアプリを提供する暗号資産セキュリティ企業である。商品そのものの安全性と、注文管理システムのセキュリティは別の問題だという点を利用者は理解しておく必要がある。
利用者が今とるべき行動
SafePalの確認ツールで自分のデータが流出対象かどうかを確認することが第一歩だ。対象だった場合、次の対策を検討する必要がある。
- 不審なメールや電話、SMSには返信しない。特に秘密鍵やシードフレーズを求められたら即座に無視する
- SafePalを装ったメールのリンクはクリックせず、公式サイトへ直接アクセスする
- 過去に秘密鍵やシードフレーズを第三者に伝えてしまった場合は、新しいウォレットへ資産を移す
- 二要素認証など、関連するアカウントのセキュリティ設定を見直す
今回流出したのは注文情報であり、暗号資産を直接失うリスクは低い。だが、流出した個人情報はフィッシング攻撃の材料に使われる。今後の連絡には細心の注意が必要だ。
この記事のポイント
- SafePalの注文管理プラグインの認可欠陥で、約39,800人分の氏名・住所・連絡先が流出した
- 秘密鍵、シードフレーズ、暗号資産には影響がないとSafePalは説明している
- 同社は脆弱性を修正し、第三者機関による監査や偽サイト30件以上の削除を実施した
- 利用者は確認ツールで影響を調べ、フィッシング対策を徹底することが求められる
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。