donanım tabanlı kripto cüzdan üreticisi SafePal, yaklaşık 39.798 kullanıcıyı etkileyen bir veri ihlalini açıkladı. İsimler, teslimat adresleri, telefon numaraları, e-postalar ve sipariş detayları üçüncü şahısların eline geçti.
Olayda, SafePal bu tür bilgileri toplamadığı veya saklamadığı için kurtarma ifadeleri, özel anahtarlar, parolalar, banka bilgileri, kart numaraları veya belgeler tehlikeye girmedi. Ekip, kullanıcı cüzdanlarına veya fonlarına yetkisiz erişim olduğuna dair hiçbir kanıt bulamadı.
Geliştiriciler, sızdırılan bilgilerin, destek ekibini taklit eden aramalar, mesajlar veya e-postalar, para iadesi teklifleri, ürün yazılımı güncellemeleri talepleri veya kimlik avı sitelerine yönlendirmeler gibi hedefli saldırılar için kullanılabileceği konusunda uyardı. SafePal şu anda sahte kaynakları izliyor ve bunların engellenmesi için çalışıyor.
Bu güvenlik açığı, müşteri verilerine bağlı bir sipariş takip eklentisindeki yetkilendirme hatasından kaynaklandı. Eklenti, erişimi yanlış şekilde ele alarak yetkisiz kişilerin diğer müşterilerin siparişlerini görüntülemesine olanak sağladı.
Geliştiriciler, duyurunun yapıldığı zamana kadar sorunun çözüldüğünü ve güvenlik önlemlerinin artırıldığını bildirdi.
Güvenlik açığı, 2 Mart 2025 ile 11 Nisan 2026 tarihleri arasında sipariş veren müşterileri etkiledi. SafePal, güvenlik açığının ne zaman istismar edildiğini veya ekip tarafından ne zaman keşfedildiğini belirtmedi.
Donanım cüzdanı üreticisi, olayı bağımsız bir güvenlik şirketiyle birlikte araştırıyor ve tüm sipariş işleme sistemini denetlemeyi planlıyor.
Şirket, düzenlemelere uygun olarak bu sistemdeki veri saklama süresini 90 güne indirdi ve lojistik ortaklarını bilgilendirerek sistemlerinin etkilenip etkilenmediğini kontrol etmelerini istedi.
Daha önce, 13 Ağustos’ta, Trezor projesinde de benzer bir durum yaşanmıştı. Lojistik ortağı ShipMonk’un güvenlik açığı, yaklaşık 14.000 müşterinin kişisel bilgilerinin sızmasına yol açmıştı.