8月16日、バイナンスが投資したハードウェアウォレット企業SafePalがX上で声明を出し、セキュリティ事故があったことを認めました。約4万人のユーザー情報が盗まれたとされています。

シードフレーズ、秘密鍵、ウォレットパスワードなどの中核情報についてはSafePalは問題ないと言っていますが、ユーザーの氏名、メールアドレス、配送先住所、電話番号など、ハードウェアウォレットを購入する際に入力した受取情報はすべて抜き取られていました。

漏えいの原因は、SafePalのサイト上でユーザーが注文状況を確認するためのサードパーティ製プラグインで、"認可の脆弱性"がありました。本来はユーザーが注文番号を入力して自分の購入記録しか参照できないはずが、誰かがパラメータを勝手に変更するだけで他人の受取先の住所や電話番号が見えることが分かりました。

SafePalは「最近になって根本原因を突き止めた」と言っていますが、実際には7月の時点ですでに、ネット上で「自分の氏名や住所を知っている詐欺電話を受けた」というユーザーの報告がありました。

つまりSafePalのユーザーデータが、オンライン上で1か月以上「丸裸」の状態になっていた可能性があります。

今年は暗号資産業界のセキュリティ事件が相次いでおり、皆がすでに慣れたDeFiの盗難に加えて、最も安全なハードウェアウォレットとされるものでも頻繁にトラブルが起きています。

大手のハードウェアウォレット企業Ledgerが今年1月、取引先であるGlobal-eへの支払いで問題が発生し、一部の顧客の氏名と連絡先が漏えいしました。

今回の事故はSafePalと同様で、シードフレーズや秘密鍵などウォレットの中核となる証憑には関係しないものの、歴史的にLedgerのユーザーのプライバシー漏えいが「ハンドル攻撃（ボルト・オン攻撃）」を引き起こし、さらにはLedgerの共同創業者本人でさえ2025年に被害者になっています。

今年7月30日、"暗号学の観点で絶対に信頼できる"と称していたカナダのハードウェアウォレット企業Coldcardが盗難に遭いました。

攻撃者は、2021年3月から存在し、5年間潜伏していたファームウェアの脆弱性を悪用しました。Coldcardの一部のデバイスで、シードフレーズ生成時のランダム性が不十分で、鍵の強度が128ビットから最低40ビットまで低下してしまい、その結果、鍵がハッカーにより総当たりで解読されました。

ハッカーは7月30日から4回に分けて犯行を行い、41分以内に1196のアドレスから約7000万ドルを盗み取り、最終的な損失は1億3000万ドル以上に膨らみました。影響を受けたのは5200以上のアドレスに及び、2026年時点でこれまでの暗号資産盗難事件としては3番目の大事件となりました。

今回のユーザー情報漏えいのSafePalは、バイナンスに投資されており、さらにバイナンスのLaunchpadで取り上げられたハードウェアウォレット案件でもあります。バイナンス系の新勢力にあたります。

バイナンスの取引の流動性や法定通貨の入出金チャネルをそのままウォレットアプリに持ち込める、しかも導入価格を50ドル以内に抑えたことで、多くの暗号投資家の関心を集めています。

SafePalは「オフライン署名」の層では極限まで安全性を高めている一方で、「EC（電商）注文」層では業界平均レベルの防御にとどまっています。

現在のハッカーもこの点をよく理解しています。ファームウェア暗号という難所に手を出すのではなく、注文システムのような脆弱なポイントを狙うのです。氏名・住所・電話番号といった情報を手に入れた後は、次の一手として、精密なフィッシング、カスタマーサポートのなりすまし、さらにはオフラインでの「ハンドル攻撃（threatenで暴力により秘密鍵を差し出させる）」まで行えます。

犯罪者に狙われなくても、これらの情報がマスコミおじさん（捜査当局）や税務当局に把握されるのも良くありません。