39,798条订单数据泄露后,SafePal假信件寄达意大利用户

假SafePal信件寄进意大利家庭

一场针对硬件钱包用户的精准骗局正在意大利蔓延:不法分子直接把伪造的SafePal信件寄到用户的家庭住址,所用的个人信息正是来自这家硬件钱包厂商8月发生的数据泄露事件。每封信都声称收件人的设备存在固件缺陷,也就是钱包内置软件本身的问题,并引导用户扫描信中印刷的二维码进行“修复”。该二维码会打开一个假的SafePal网站,托管在Arweave上。Arweave是一个以永久保存文件为设计目标的存储网络,这使假页面的下架难度远高于普通主机上的页面。信件和假站上都显示着用户的真实姓名、通信地址和订单信息,正是这种精准度让邮件显得可信。骗局真正要的是助记词,即可以在任何设备上重建钱包的那组备份词。用户一旦把这组词输入假站,钱包里的全部资产即刻易手,因为单凭助记词就足以在攻击者的设备上恢复余额。一个意大利社区账号在X平台11月12日的帖子中曝光了这一活动,称SafePal买家收到了带有正确个人信息和个性化链接的信件。SafePal客服团队当天(星期四)在同一条消息中确认了这一骗局,并将其与8月的泄露事件联系起来。团队在声明中写道,信件“并非出自SafePal”,钱包基础设施依然安全,公司绝不会寄送实体邮件,也绝不会索要助记词。官方同时请收信人通过公司的防诈骗页面举报(需拍摄可见二维码的照片),以便关闭假站。与始终联网的热钱包不同,硬件钱包在离线状态下签署交易,这正是攻击者必须骗取助记词、而不是抢夺设备的原因。

八月泄露事件与Ledger先例

这批邮件背后的地址名单,可以追溯到SafePal于8月16日发布的一份披露公告。根据该公司的安全通报,其商城的一个订单追踪插件存在漏洞,导致2025年3月至2026年4月期间下单的39,798位客户的订单数据外泄。该插件架设在公司线上商城、负责物流追踪,与钱包的内部安全体系没有任何关联。泄露的信息包括姓名、电子邮箱、通信地址、电话号码和购买详情。公司表示,助记词、私钥和银行卡号均未外泄。SafePal尚未说明假信件已寄出多少封,也不清楚意大利以外是否有用户收到。通信地址不会过期,而这波骗局在原始泄露发生数月后才出现,说明这份数据集仍在流转。类似的剧本早有先例。Ledger在2020年的泄露事件中流出约272,000名用户的通信地址,到了2025年,也就是五年之后,伪造的Ledger信件才开始寄进用户家中。今年8月,Trezor的物流合作方又泄露了13,689条客户记录,使这份受影响的硬件钱包品牌名单增至三家。Trezor和SafePal均未报告钱包本身遭到入侵;两起事件中设备完好无损,真正暴露的是围绕设备的客户数据。对于还不清楚这类设备与交易所托管有何区别的持有人,一篇讲解硬件钱包工作原理的指南说明了设备究竟在签署什么。经过此类事件之后,冷钱包与联网账户之间的那条实操界线依然不变:硬件把私钥留在离线环境,而数据泄露改变的只是谁知道持有人住在哪里。

整个事件链条指向一个明确的结论:钱包本身没有被攻破,骗局只有在收件人主动输入助记词时才能得手。SafePal的官方声明作为本案的第一手文件,确认钱包基础设施依然安全,公司绝不会通过邮件索要助记词。这样一来,风险敞口仍停留在8月以来的位置,也就是地址数据本身,而防线也一如既往地落在用户手中。任何索要助记词的信件,无论印着什么标志,按定义就是骗局;不理会它的持有人,资产依旧安然无恙。