ลูกค้าเกือบ 40,000 รายของผู้ผลิตกระเป๋าเงินคริปโต SafePal ตอนนี้จำเป็นต้องจับตาดูกล่องจดหมายของตนให้ใกล้ชิดมากขึ้น บริษัทเปิดเผยเมื่อวันที่ 16 สิงหาคมว่า ช่องโหว่ในระบบติดตามคำสั่งซื้อของตนได้เปิดเผยข้อมูลส่วนบุคคลที่เชื่อมโยงกับบัญชีลูกค้าประมาณ 39,798 บัญชี ถือเป็นหนึ่งในเหตุการณ์เปิดเผยการรั่วไหลของข้อมูล SafePalที่สำคัญที่สุดซึ่งกระทบต่ออุตสาหกรรมฮาร์ดแวร์วอลเล็ตในปีนี้ ข่าวดีตามที่ SafePal ระบุ คือการรั่วไหลครั้งนี้ไม่เคยแตะต้องข้อมูลรับรองที่ใช้ปกป้องเงินคริปโตจริงๆ
Summary
ประเด็นสำคัญ
- ข้อบกพร่องด้านการอนุญาตในปลั๊กอินติดตามคำสั่งซื้อของ SafePal ทำให้ข้อมูลส่วนบุคคลของลูกค้าประมาณ 39,798 รายที่สั่งซื้อระหว่างวันที่ 2 มีนาคม 2025 ถึง 11 เมษายน 2026 ถูกเปิดเผย
- ข้อมูลที่ถูกเปิดเผยรวมถึงชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง และรายละเอียดการสั่งซื้อ — แต่ไม่รวมวลีซีด (seed phrase) กุญแจส่วนตัว รหัสผ่านวอลเล็ต หมายเลขบัตรชำระเงิน รายละเอียดบัญชีธนาคาร หรือบัตรประจำตัวที่ออกโดยรัฐบาล
- SafePal ระบุว่าไม่มีหลักฐานว่ากระเป๋าเงินหรือเงินของลูกค้าถูกเจาะโดยตรงจากเหตุการณ์รั่วไหลครั้งนี้
- บริษัทได้ปิดเว็บไซต์ฟิชชิงที่เชื่อมโยงกับเหตุการณ์นี้ไปแล้วมากกว่า 30 แห่ง และลดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเหลือ 90 วัน
- SafePal กำลังว่าจ้างบริษัทความปลอดภัยอิสระภายนอกเพื่อตรวจสอบการแก้ไข ตามหลังเหตุการณ์ข้อมูลรั่วไหลที่คล้ายกันเมื่อไม่นานมานี้ที่ Trezor และ Ledger
อะไรเป็นชนวนให้เกิดการรั่วไหลของข้อมูล SafePal
สาเหตุรากฐานมาจากข้อบกพร่องด้านการอนุญาตในปลั๊กอินที่ SafePal ใช้เพื่อติดตามคำสั่งซื้อของลูกค้า ภายใต้เงื่อนไขบางประการ ช่องโหว่นี้ทำให้ลูกค้ารายหนึ่งสามารถดูข้อมูลคำสั่งซื้อของลูกค้าอีกรายได้เพียงแค่ปรับเปลี่ยนหมายเลขคำสั่งซื้อ — คล้ายกับหน้าติดตามการจัดส่งที่เผลอให้คนแปลกหน้าดูใบเสร็จของผู้อื่นได้โดยไม่ตั้งใจ
SafePal ยังไม่ได้ระบุอย่างชัดเจนว่าโค้ดที่มีช่องโหว่นี้ถูกเพิ่มเข้ามาเมื่อใด หรือมีบุคคลภายนอกกี่รายที่อาจเข้าถึงบันทึกที่ถูกเปิดเผยก่อนที่ช่องโหว่จะถูกค้นพบและอุด
ขอบเขตและประเภทของข้อมูลที่ถูกเปิดเผย
บันทึกที่ถูกเปิดเผยครอบคลุมคำสั่งซื้อที่ทำระหว่างวันที่ 2 มีนาคม 2025 ถึง 11 เมษายน 2026 ตามรายงานเหตุการณ์ของ SafePal และรายงานจาก The Block และ CoinDesk ข้อมูลดังกล่าวรวมถึงชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง และรายละเอียดการสั่งซื้อ — ซึ่งเป็นข้อมูลส่วนบุคคลเพียงพอที่จะทำให้ความพยายามหลอกลวงในอนาคตดูน่าเชื่อถือ
ความปลอดภัยของวอลเล็ตยังคงไม่ถูกกระทบ
SafePal ระบุอย่างชัดเจนถึงสิ่งที่การรั่วไหลครั้งนี้ไม่ได้แตะต้อง บริษัทกล่าวว่าในบรรดาข้อมูลที่ถูกเจาะนั้น วลีซีด กุญแจส่วนตัว รหัสผ่านวอลเล็ต หมายเลขบัตรชำระเงิน ข้อมูลบัญชีธนาคาร และหมายเลขบัตรประจำตัวที่ออกโดยรัฐบาลไม่เคยถูกเปิดเผย SafePal เสริมว่าไม่พบหลักฐานว่าการรั่วไหลครั้งนี้ทำให้การเข้าถึงกระเป๋าเงิน SafePal หรือเงินของลูกค้าถูกเจาะ ซึ่งเป็นความแตกต่างที่สำคัญเมื่อพิจารณาถึงวิธีที่เหตุการณ์นี้น่าจะถูกมอง
ความเสี่ยงฟิชชิงเพิ่มสูงขึ้นสำหรับลูกค้า SafePal
อันตรายที่แท้จริงสำหรับผู้ใช้ที่ได้รับผลกระทบไม่ใช่คริปโตที่ถูกขโมย — แต่เป็นการปลอมแปลงตัวตนที่แนบเนียน เนื่องจากผู้โจมตีสามารถจับคู่ชื่อจริง ที่อยู่ และประวัติการสั่งซื้อได้ ความพยายามฟิชชิงที่สร้างขึ้นจากข้อมูลเหล่านี้จึงดูน่าเชื่อถือกว่าอีเมลหลอกลวงทั่วไป SafePal เตือนผู้ใช้ว่ามิจฉาชีพอาจปลอมตัวเป็นพนักงานของบริษัทโดยอ้างว่าเสนออัปเดตเฟิร์มแวร์ การคืนเงิน หรือการเปลี่ยนอุปกรณ์ฮาร์ดแวร์วอลเล็ต เพื่อหลอกให้เหยื่อมอบข้อมูลรับรองของวอลเล็ต
คำเตือนนั้นไม่ใช่เรื่องสมมติ ข้อร้องเรียนสาธารณะที่อ้างอิงข้อมูลส่วนบุคคลที่ถูกต้องปรากฏบน Reddit และ Trustpilot ตั้งแต่วันที่ 3 และ 4 กรกฎาคม — หลายสัปดาห์ก่อนการเปิดเผยต่อสาธารณะของ SafePal — โดยอธิบายถึงสายโทรศัพท์หลอกลวงจากบุคคลที่รู้ชื่อ ที่อยู่ หมายเลขโทรศัพท์ อีเมล และรายละเอียดคำสั่งซื้อที่ผ่านมาอยู่แล้ว และชี้นำเหยื่อไปยังเว็บไซต์ปลอมที่แอบอ้างเป็นฝ่ายสนับสนุนของ SafePal SafePal ระบุว่าได้ตรวจสอบรายงานก่อนหน้านี้ในช่วงต้นเดือนพฤษภาคม แต่ในตอนแรกมองว่าเป็นกรณีโดดเดี่ยว ก่อนจะยกระดับเป็นการทบทวนและสร้างกระบวนการจัดการคำสั่งซื้อใหม่ทั้งหมดในเดือนกรกฎาคม เมื่อยืนยันได้ว่าข้อบกพร่องด้านการอนุญาตเป็นสาเหตุรากฐาน
การปิดเว็บไซต์ฟิชชิงและการแจ้งเตือนลูกค้า
SafePal ระบุว่าได้ระบุและลบเว็บไซต์ฉ้อโกงและลิงก์ฟิชชิงที่เชื่อมโยงกับเหตุการณ์นี้ไปแล้วมากกว่า 30 รายการ และยังคงติดตามตรวจสอบโดเมนใหม่ๆ ที่พยายามใช้ประโยชน์จากข้อมูลที่รั่วไหล ลูกค้าที่ได้รับผลกระทบได้รับการแจ้งเตือนเป็นรายบุคคลทางอีเมลจากทีมความปลอดภัยของ SafePal และบริษัทยังได้เปิดตัวเครื่องมือตรวจสอบที่ให้ผู้ใช้ตรวจได้ว่าคำสั่งซื้อของตนเกี่ยวข้องกับเหตุการณ์นี้หรือไม่โดยกรอกหมายเลขคำสั่งซื้อและประเทศปลายทางการจัดส่ง
ผู้ใช้ที่ได้รับผลกระทบควรทำอย่างไร
แนวทางของ SafePal ตรงไปตรงมา: ใครก็ตามที่เคยกรอกวลีซีดหรือกุญแจส่วนตัวลงในเว็บไซต์ที่น่าสงสัย — ไม่ว่าจะถูกกระตุ้นผ่านอีเมล โทรศัพท์ หรือจดหมาย — ควรถือว่ากระเป๋าเงินนั้นถูกเจาะแล้ว สร้างกระเป๋าเงินใหม่ และย้ายเงินที่เหลือทั้งหมดออกไปทันที
การตอบสนองของ SafePal: การเปลี่ยนแปลงการเก็บรักษาข้อมูลและการตรวจสอบอิสระ
นอกเหนือจากการอุดช่องโหว่ทันที SafePal กำลังปรับปรุงวิธีการและระยะเวลาการเก็บข้อมูลคำสั่งซื้อของลูกค้า บริษัทระบุว่ากำลังลดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลในสภาพแวดล้อมที่ได้รับผลกระทบเหลือเพียง 90 วันนับจากวันที่เก็บข้อมูล การเปลี่ยนแปลงนี้มีจุดประสงค์เพื่อลดปริมาณข้อมูลในอดีตที่อาจถูกเปิดเผยในเหตุการณ์ในอนาคต การตัดสินใจดังกล่าวยังสะท้อนถึงปัญหาแยกต่างหาก: ข้อผิดพลาดด้านการกำหนดค่าทำให้กระบวนการล้างข้อมูลตามกำหนดการทำงานผิดพลาดในช่วงระหว่างเดือนกันยายน 2025 ถึงเมษายน 2026 หมายความว่าบันทึกเก่าถูกเก็บอยู่ในระบบนานกว่าที่ตั้งใจไว้ แม้ว่า SafePal จะระบุว่าความล้มเหลวนี้ไม่ได้เป็นสาเหตุโดยตรงของการเข้าถึงโดยไม่ได้รับอนุญาตก็ตาม
SafePal ยังได้ว่าจ้างบริษัทความปลอดภัยอิสระภายนอกเพื่อยืนยันวิธีแก้ไขและดำเนินการประเมินความปลอดภัยอย่างครอบคลุมต่อระบบประมวลผลคำสั่งซื้อของตน ซึ่งเป็นขั้นตอนที่มีเป้าหมายเพื่อสร้างความมั่นใจให้ลูกค้าว่าปัญหาด้านการอนุญาตที่เป็นรากฐานได้ถูกปิดอย่างแท้จริง ไม่ใช่เพียงแค่ปะชั่วคราว
รูปแบบที่เริ่มปรากฏในหมู่ผู้ให้บริการฮาร์ดแวร์วอลเล็ต
การเปิดเผยของ SafePal เกิดขึ้นเพียงไม่กี่วันหลังจากเหตุการณ์คล้ายกันที่ผู้ผลิตฮาร์ดแวร์วอลเล็ตคู่แข่งอย่าง Trezor ซึ่งพาร์ตเนอร์ด้านการจัดส่ง ShipMonk ทำให้ข้อมูลส่วนบุคคลของลูกค้าเกือบ 14,000 รายถูกเปิดเผย เมื่อต้นปีนี้ Ledger ก็ได้แจ้งลูกค้าเกี่ยวกับการเปิดเผยข้อมูลในลักษณะเดียวกันที่สืบย้อนไปถึง Global-e ผู้ให้บริการอีคอมเมิร์ซภายนอกที่จัดการการสั่งซื้อบางส่วนผ่านเว็บไซต์ของ Ledger ในแต่ละกรณี — SafePal, Trezor และ Ledger — บริษัทที่เกี่ยวข้องต่างยืนยันว่ากระเป๋าเงินและกุญแจส่วนตัวยังคงปลอดภัยตลอดเวลา
เมื่อมองรวมกัน รูปแบบนี้ชี้ให้เห็นถึงจุดอ่อนที่เกิดซ้ำในอุตสาหกรรมฮาร์ดแวร์วอลเล็ต: ไม่ใช่ระบบคริปโตกราฟีที่ปกป้องกุญแจส่วนตัวที่ล้มเหลว แต่เป็นโครงสร้างพื้นฐานด้านการค้าและโลจิสติกส์รอบข้าง — ปลั๊กอินติดตามคำสั่งซื้อ พาร์ตเนอร์ด้านการจัดส่ง ผู้ประมวลผลการชำระเงินภายนอก — ที่ยังคงทำให้ชื่อและที่อยู่ของลูกค้ารั่วไหลไปอยู่ในมือของมิจฉาชีพ สำหรับอุตสาหกรรมที่สร้างขึ้นบนคำมั่นสัญญาเรื่องความปลอดภัยของการถือครองสินทรัพย์ด้วยตนเอง ความแตกต่างนี้อาจให้ความสบายใจเพียงเล็กน้อยแก่ลูกค้าที่ต้องรับสายโทรศัพท์ที่น่าเชื่อถือจากคนที่รู้แน่ชัดแล้วว่าพวกเขาสั่งอะไรและจัดส่งไปที่ไหน
คำถามที่พบบ่อย
อะไรเป็นสาเหตุของการรั่วไหลของข้อมูล SafePal?
ข้อบกพร่องด้านการอนุญาตในปลั๊กอินติดตามคำสั่งซื้อของ SafePal ทำให้มีการเข้าถึงข้อมูลคำสั่งซื้อของลูกค้าโดยไม่ได้รับอนุญาต
ข้อมูลลูกค้าประเภทใดที่ถูกเปิดเผยในการรั่วไหลครั้งนี้?
ข้อมูลที่ถูกเปิดเผยรวมถึงชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง และรายละเอียดการสั่งซื้อ
ข้อมูลรับรองของวอลเล็ตอย่างวลีซีดหรือกุญแจส่วนตัวถูกเจาะหรือไม่?
ไม่ SafePal ยืนยันว่าวลีซีด กุญแจส่วนตัว และรหัสผ่านวอลเล็ตไม่ถูกเปิดเผย และไม่มีหลักฐานว่ากระเป๋าเงินหรือเงินถูกเจาะ
SafePal ดำเนินการอะไรเพื่อปกป้องลูกค้าที่ได้รับผลกระทบ?
SafePal ปิดเว็บไซต์ฟิชชิงมากกว่า 30 แห่ง ลดระยะเวลาการเก็บข้อมูลเหลือ 90 วัน แจ้งเตือนลูกค้าที่ได้รับผลกระทบ และว่าจ้างบริษัทความปลอดภัยอิสระเพื่อตรวจสอบการแก้ไข
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”อะไรเป็นสาเหตุของการรั่วไหลของข้อมูล SafePal?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ข้อบกพร่องด้านการอนุญาตในปลั๊กอินติดตามคำสั่งซื้อของ SafePal ทำให้มีการเข้าถึงข้อมูลคำสั่งซื้อของลูกค้าโดยไม่ได้รับอนุญาต.”}},{“@type”:”Question”,”name”:”ข้อมูลลูกค้าประเภทใดที่ถูกเปิดเผยในการรั่วไหลครั้งนี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ข้อมูลที่ถูกเปิดเผยรวมถึงชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง และรายละเอียดการสั่งซื้อ.”}},{“@type”:”Question”,”name”:”ข้อมูลรับรองของวอลเล็ตอย่างวลีซีดหรือกุญแจส่วนตัวถูกเจาะหรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ไม่ SafePal ยืนยันว่าวลีซีด กุญแจส่วนตัว และรหัสผ่านวอลเล็ตไม่ถูกเปิดเผย และไม่มีหลักฐานว่ากระเป๋าเงินหรือเงินถูกเจาะ.”}},{“@type”:”Question”,”name”:”SafePal ดำเนินการอะไรเพื่อปกป้องลูกค้าที่ได้รับผลกระทบ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”SafePal ปิดเว็บไซต์ฟิชชิงมากกว่า 30 แห่ง ลดระยะเวลาการเก็บข้อมูลเหลือ 90 วัน แจ้งเตือนลูกค้าที่ได้รับผลกระทบ และว่าจ้างบริษัทความปลอดภัยอิสระเพื่อตรวจสอบการแก้ไข.”}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการทบทวนโดยทีมบรรณาธิการแล้ว
