各位关注资产安全的币圈老铁，硬件钱包领域再起波澜！
知名加密硬件钱包提供商 SafePal 近日公开披露了一起严重的安全事故：因订单追踪插件存在权限漏洞，导致近 4 万名用户的个人订单信息惨遭泄露！$NVDAB
继此前 Coldcard 被曝遭攻击之后，硬件钱包再次被推上风口浪尖。这起事件的核心真相是什么？你的链上资产到底安不安全？硬核拆解如下：
🔍 1. 发生了什么？“改个单号”就能看别人隐私
权限漏洞致信息外泄： 官方排查发现，其用于追踪客户订单的第三方插件存在“授权缺陷”。黑客只需简单更改订单编号，就如同在快递系统里随意查看其他买家的收据和配送详情。受影响人数与时间： 此次事件共波及 39,798 名客户，受影响群体集中在 2025年3月2日 至 2026年4月11日 期间下单的用户。泄露内容： 包含客户姓名、实体送货地址和联系方式，用户因此面临极高的定向钓鱼和冒充诈骗风险。
🛡️ 2. 最关键的问题：链上资金与私钥丢了吗？
核心资产绝对安全： SafePal 官方明确强调，本次漏洞仅停留在外围的电商订单系统，所有用户的私钥、助记词、加密资产、银行密码及身份证件信息均未受到任何波及，硬件钱包底层的核心安全机制依旧稳固。唯一的资金风险点： 如果你此前已经通过钓鱼邮件、虚假电话或诈骗信件泄露了自己的助记词或私钥，必须立刻将资产转移至全新生成的安全钱包中！
🛠️ 3. 官方紧急补救与防坑避险指南
安全加固与缩短数据留存： 官方已火速修复漏洞，并聘请独立第三方安全审计机构审查订单系统；同时宣布未来客户个人数据在系统中仅保留 90 天。全面清理仿冒源头： 目前已识别并下架了 30 多个与该事件相关的虚假欺诈网站和钓鱼链接，并通过 security@safepal.com 发送了通知。上线自查工具： 用户可前往 SafePal 官网使用专属验证工具，一键查询自己的订单信息是否在泄露名单中。
💡 给 Web3 交易者的终极警示：
这起事件再次向全行业敲响警钟：即便底层密码学坚不可摧，外围的中心化电商渠道也可能成为攻击突破口。
近期如果收到任何自称“SafePal 官方”要求“设备召回”、“固件强制更新”、“重置助记词”的邮件或短信，一律视为诈骗，千万不要点击任何未知链接或输入助记词！不要把所有筹码放在同一个篮子里，合理分散资产仓位，定期排查授权与安全环境，守好自己的底牌！
#SafePal #安全预警 #硬件钱包 #加密安全 #防钓鱼指南