SafePal 的客户数据泄露，已经从线上钓鱼发展成了线下精准诈骗。

意大利部分 SafePal 用户最近收到一封实体信件，信上印着 SafePal 的标志，声称硬件钱包固件存在安全漏洞，要求用户扫描二维码完成修复。

二维码指向的却是钓鱼网站，目的就是骗取钱包助记词。

这次诈骗最麻烦的地方在于，信件使用了真实的姓名、家庭住址和购买记录，看起来不像随机群发的垃圾邮件，更像是厂商专门发给客户的安全通知。

SafePal 已确认这是一起利用此前数据泄露实施的诈骗。

今年 8 月，公司披露约 39,798 名客户的信息遭到未经授权访问，包括姓名、邮箱、电话、收货地址和购买详情。私钥、助记词、钱包密码和银行卡信息并未泄露。

截至 11 月 12 日，SafePal 已确认相关信件属于诈骗，并下架了 30 多个欺诈网站。公司此前还通知了受影响客户，将相关个人信息的保存期限缩短至 90 天。

这件事暴露了硬件钱包行业一个容易被低估的风险：

钱包本身没有被攻破，用户的链上资产也没有直接暴露，但只要姓名、住址和购买记录落入攻击者手中，就足以制作高度可信的诈骗材料。

线上钓鱼靠的是假链接，线下诈骗靠的是真信息。

记住一条：SafePal 不会通过实体信件要求用户扫码升级固件，更不会索要助记词。任何要求输入助记词的所谓安全验证，都应该直接视为诈骗。