לא דלפו מפתחות ולא סיסמאות. מה שיצא החוצה מ-SafePal, יצרנית ארנקי חומרה לקריפטו (מכשיר קטן שמחזיק את המפתחות למטבעות הדיגיטליים מחוץ לאינטרנט), הוא רשימת לקוחות: שם, כתובת אימייל, מספר טלפון, כתובת למשלוח ופרטי הזמנה של 39,798 אנשים. במילים אחרות, רשימה של אנשים שידוע עליהם שהם מחזיקים מטבעות דיגיטליים, עם הכתובת שאליה הגיעה החבילה.

מה קרה

החברה אישרה את האירוע ביום ראשון. לפי ההודעה שלה, החולשה ישבה בפונקציה שמאפשרת ללקוח לעקוב אחרי ההזמנה שלו: היא לא בדקה כראוי שמי שמבקש את פרטי ההזמנה הוא באמת בעל ההזמנה, ולכן אפשר היה לשלוף דרכה גם הזמנות של אחרים. SafePal מוסרת שהחולשה הייתה פתוחה בין 2 במרץ 2025 ל-11 באפריל 2026, ושתקלת הגדרות נפרדת מנעה באותה תקופה מחיקה של נתונים ישנים. דיווחים ראשונים הגיעו במאי 2026, החברה התייחסה אליהם כאל מקרים בודדים, ורק ביולי, בבדיקה כוללת של המערכות, היא הגיעה למקור.

במקביל מציע גורם בפורום עברייני את המידע למכירה. הוא לא אומת, אבל תקופות ההזמנות וכמות הרשומות שהוא מציין תואמות למה שהחברה עצמה פרסמה. SafePal מדגישה שלא נמצאה עדות לכך שהאירוע פגע בארנקים או בכספים, ושאין צורך להחליף מכשיר או להעביר מטבעות. גם זו, בשלב הזה, אמירה של החברה על עצמה.

למה זה חשוב לכם

רשימה כזאת שווה לתוקפים הרבה יותר ממה שהיא נראית. פנייה שמגיעה עם השם הפרטי שלכם, דגם המכשיר שקניתם ותאריך ההזמנה נשמעת אחרת לגמרי מפנייה אקראית, וזה בדיוק מה שהופך אותה למסוכנת. התסריטים הצפויים הם שניים או שלושה: עדכון קושחה דחוף שחייבים להתקין, החזר כספי שמגיע לכם, או פנייה של מוקד תמיכה שכבר יודע מה קניתם. המטרה תמיד אותה מטרה, לגרום לכם להקליד את רצף המילים לשחזור הארנק (seed phrase) באתר או באפליקציה. מי שמשיג את רצף המילים מעביר את הכסף מכל מכשיר בעולם, בלי לגעת בשלכם.

מה עושים?

הזמנתם ארנק מ-SafePal? בדקו בכלי שהחברה פרסמה באתרה אם ההזמנה שלכם נכללת בדליפה.

את רצף המילים לשחזור לא מקלידים באף אתר, טופס או צ'אט תמיכה. שום עדכון, החזר או בדיקת אבטחה לא זקוקים לו, וכל בקשה כזאת היא הונאה.

עדכנו קושחה רק מתוך היישומון הרשמי של היצרן ולא דרך קישור שהגיע במייל, ב-SMS או בטלגרם.

אם כבר מסרתם את רצף המילים למישהו, צרו ארנק חדש והעבירו אליו את המטבעות עכשיו. הארנק הישן נחשב חשוף מרגע שהמילים יצאו מהבית.

רשימת הזמנות של חנות אונליין נשמעת כמו המידע המשעמם ביותר שאפשר לגנוב. היא בדיוק המידע שהופך פנייה אקראית לפנייה משכנעת.