比特币及加密货币钱包制造商SafePal于周六披露，其订单跟踪插件中的一个漏洞使攻击者未经授权访问了约39,798名客户的个人信息。此次泄露影响在2025年3月2日至2026年4月11日期间下单的用户，泄露信息包括姓名、电子邮箱地址、收货地址、电话号码及购买详情。
该公司强调，敏感的钱包凭证并未遭到泄露，助记词、私钥、钱包密码、银行信息、支付卡号及政府身份证件均不在本次暴露数据之列。SafePal是一款由币安和Animoca Brands支持的非托管钱包套件，声称服务3000万用户。该公司表示已修复该漏洞，通过电子邮件通知受影响的客户，并推出了专门页面供用户核实是否受到影响。
尽管没有资金被直接盗取，但姓名、家庭住址及加密货币持有证据的组合，恰恰是导致犯罪分子瞄准高净值持币者的典型数据类型。随着所谓的“扳手攻击”（wrench attacks）增多，这一担忧日益加剧。此类攻击中，受害者会遭到威胁或人身攻击，直到被迫交出加密货币。Chainalysis在2026年上半年记录了46起暴力事件，被盗金额超过3000万美元，并称今年有望成为有记录以来最糟糕的一年，入室抢劫正越来越多地取代绑架。
SafePal加入了越来越多通过第三方泄露而令客户遭受风险的加密钱包公司行列。就在几天前，硬件钱包制造商Trezor披露，其物流合作伙伴ShipMonk的一起泄露事件影响了约13,700名客户的数据。最清晰的警示案例仍然是Ledger，其2020年约27.2万客户信息泄露引发了一波钓鱼攻击，对部分人甚至出现了涉及暴力的勒索威胁。
此次事件为自托管用户增添了又一段动荡时期。用户们尚未从Coldcard漏洞中缓过神来——该漏洞通过固件熵缺陷耗尽了长期沉睡的比特币，并将行业整体损失推高至约1.3亿美元。SafePal向社区致歉，并表示将在调查继续期间于其博客发布最新动态。