SafePal деректерінің ағып кетуі: оқиға аппараттық әмияндардың 40 000-ға жуық пайдаланушысына әсер етті
16 тамызда аппараттық криптоәмияндар өндірушісі SafePal жеке деректердің шамамен 39 798 клиентке әсер еткен ағып кету фактісін ресми растады. Оқиға нәтижесінде үшінші тұлғалардың қолына пайдаланушылардың аты-жөні, жеткізу мекенжайлары, телефон нөмірлері, электрондық пошта мекенжайлары, сондай-ақ ресімделген тапсырыстардың мәліметтері түсті. Бұл бүкіл индустрия үшін маңызды сигнал, өйткені қауіпсіздік эталоны саналатын аппараттық әмияндардың өзі ілеспе қызметтер деңгейінде осал болып шығады.
Атап өту маңызды: ағып кету өте сезімтал деректерге әсер еткен жоқ. Сид-фразалар, жеке кілттер, құпия сөздер, банк реквизиттері, карта нөмірлері мен құжаттар қауіпке ұшыраған жоқ — SafePal бұл ақпаратты өз серверлерінде принципті түрде сақтамайды. Жоба командасы пайдаланушылардың қаражатына немесе әмияндарына рұқсатсыз қол жеткізу белгілерін анықтамағанын мәлімдеді. Дегенмен, зардап шеккен клиенттер үшін тәуекелдер жоғары болып қала береді.
Жеке деректерге қол жеткізген зиянкестер оларды мақсатты фишингтік шабуылдар үшін пайдалана алады. Бұл қолдау қызметі атынан қоңыраулар мен хабарламалар, «қаражатты қайтару» ұсыныстары, прошивканы жаңарту талаптары немесе жалған сайттарға өту туралы айтылады. SafePal қазірдің өзінде фишингтік ресурстарды бақылап, олардың бұғатталуына белсенді түрде қол жеткізуде, бірақ пайдаланушыларға жоғары деңгейдегі сақтық таныту қажет.
Оқиғаның себебі және команданың реакциясы
Мәселенің түбірі клиенттік базамен интеграцияланған тапсырыстарды бақылау плагиніндегі авторизация қателігінде жатыр. Плагин қол жеткізу құқықтарын дұрыс өңдемеген, бұл бөгде адамға басқа пайдаланушылардың тапсырыстарын көруге мүмкіндік берген. Мәлімдеме жарияланған кезде әзірлеушілер осалдықты жойып, қорғаныс шараларын күшейткен болатын. Оқиға 2025 жылғы 2 наурыздан 2026 жылғы 11 сәуірге дейінгі кезеңде ресімделген тапсырыстарға әсер етті, алайда осалдықты пайдаланудың нақты уақыты әзірге ашылмай отыр.
Қазір SafePal тәуелсіз қауіпсіздік компаниясымен бірлесіп тергеу жүргізіп, тапсырыстарды өңдеу жүйесінің толық аудитін жоспарлап отыр. Заңнамаға сәйкес, бұл жүйедегі деректерді сақтау мерзімі 90 күнге дейін қысқартылды, ал логистикалық серіктестерге өз жүйелерін қауіпке ұшырау тұрғысынан тексеру қажеттілігі туралы хабарланды. Айта кетерлігі, небәрі үш күн бұрын, 13 тамызда, Trezor-да ұқсас оқиға болды — ShipMonk логистикалық серіктесінің бұзылуы шамамен 14 000 клиенттің деректерінің ағып кетуіне әкелді.
Менің талдауым: Аппараттық әмияндар индустриясындағы бұл оқиғалар толқыны — дабыл қоңырауы. Хакерлер құрылғылардың өзіне шабуылдардан периметрге шабуылдарға көшті: логистика, плагиндер, саппорт. Пайдаланушылар қауіпсіздік — бұл тек сид-фразаны темір корпуста сақтау ғана емес, сонымен қатар сіздің активтеріңізге көпір бола алатын жеке ақпаратты қорғау екенін есте сақтауы керек. Фишингке дайын болыңыз және телефон арқылы немесе мессенджерлерде құпия деректерді ешқашан хабарламаңыз.