SafePal、約4万人のハードウェアウォレット購入者情報が漏洩：秘密鍵は流出せずも、危険はむしろ身近に

著者：小餅

暗号資産セキュリティの分野には直感に反するルールがある。ある人がどれだけのビットコインを保有しているかを知ることの方が、秘密鍵を知ることよりも危険な場合がある。

8月16日、ハードウェアウォレットメーカーSafePalはセキュリティ勧告を発表し、注文照会プラグインに認可上の欠陥があり、約39,798人の顧客の氏名、メールアドレス、電話番号、配送先住所、購入履歴が不正アクセスを受けたことを確認した。影響を受けたのは2025年3月2日から2026年4月11日までの間に注文した顧客である。

SafePalは勧告のなかで、秘密鍵、ニーモニックフレーズ、ウォレットのパスワード、銀行カード番号、身分証明書情報は影響を受けていないと強調した。コールドストレージのアーキテクチャは完全に隔離された環境で稼働しており、ECサーバーとは無関係である。ユーザーのウォレットや資金が直接侵害された証拠はない。

同社は同時に、今回の事件に関連する30を超えるフィッシングサイトをすでに発見し、削除したことを明らかにした。

買い物リスト1枚がなぜパスワードより恐ろしいのか

現在、攻撃者の手元にあるのは、ハードウェアコールドウォレットを購入したことが確認されている4万人近くの人物の実名、携帯電話番号、メールアドレス、自宅住所である。

このデータの価値は、通常のECプラットフォームの注文情報流出よりもはるかに高い。コールドウォレットを買う人は、ほぼ確実に暗号資産を保有しており、しかもかなりの金額である可能性が高い。専用ハードウェアにお金を払ってまで資産を保管しようとするユーザーは、通常、数百ドルしか持たない個人投資家ではない。

攻撃者は端末を一切クラックする必要がない。彼らができることには以下のようなものがある。

SafePalのカスタマーサポートを装い、実際の注文番号と購入日を含む「ファームウェアアップグレード通知」や「デバイス回収通知」を送る。メール内の注文情報が本物であるため、ユーザーはメール全体が本物だと信じやすくなる。
ユーザーの自宅住所に物理的な手紙や荷物を送り、偽造QRコードや「交換用デバイス」を同梱する。SafePalが勧告のなかで「SafePalの購入履歴に言及する予期しない連絡やハードウェアの届け物はすべて不審なものとして扱うこと」と特に注意を促しているのは、この種の攻撃がすでに発生しているか、発生が予測されていることを示している。
流出した住所、電話番号、メールアドレスをSNSアカウントやオンチェーンアドレスと突き合わせ、より完全なユーザープロファイルを構築する。ある住所の住人が大量の暗号資産を保有していると確認できれば、物理的な侵入（いわゆる「レンチ攻撃」）が選択肢になる。

SafePal自身もFAQで、フィッシング攻撃は「電話、メール、SMS、手紙、返金の申し出、ファームウェア更新の要求、偽のサポート窓口との連絡」など多様な形で現れる可能性があると認めている。このリストの長さ自体が問題の深刻さを物語っている。

3か月間の沈黙

今回の事件で最も問われるべきなのは、情報開示のタイムラインである。

SafePalはFAQページで、早くも5月にはユーザーからフィッシングメールに関する報告を受けていたが、当初はそれを「孤立した事案」とみなしていたと認めている。7月になって初めて注文システムの包括的な調査を行い、8月に根本原因を確認して告知を発表した。

最初の報告から公表まで、約3か月が空いた。この3か月の間に、攻撃者はすでに流出データを利用してフィッシングメールを送っており、SafePalも30を超えるフィッシングサイトを発見し削除したことを確認している。つまりユーザーは、知らないうちに数か月もの間、高精度のソーシャルエンジニアリング攻撃にさらされていたことになる。

SafePalはさらに、データ削除プログラム（data-purge routine）が設定ミスによって停止し、本来なら90日後に削除されるはずだった古い注文情報がシステム内に残り続けたという詳細も明らかにした。これは、流出したデータ量が通常よりも大きかった可能性を意味する。プライバシーポリシーに従えばすでに破棄されているはずだったデータが、設定バグによって生き残り、その後に流出したのだ。

コールドウォレットのセキュリティパラドックス

SafePalの今回の事件は、ハードウェアウォレット業界の構造的矛盾を露呈させた。

コールドウォレットの最大のセールスポイントはセキュリティだ。物理的な隔離によって秘密鍵を保護し、ハッカーがネットワーク攻撃で中核資産に到達できないようにする。この約束を、SafePalは確かに守った。今回流出したのはECシステムであり、ウォレットシステムではない。

しかしコールドウォレットはECチャネルを通じて販売せざるをえず、ECチャネルは物流配送のためにユーザーの実名情報（氏名、住所、電話番号）を必然的に収集する必要がある。これらの情報は一度流出すれば、「誰が大口の暗号資産を保管しているか」を正確にマークすることになる。

Ledgerは2020年にほぼまったく同じ事件を経験している。約27万人の顧客の氏名、メールアドレス、電話番号、住所が流出した。流出後、被害者からは高精度のフィッシングメールやSIMスワップ攻撃が多数報告された。一部のユーザーは殺害予告まで受け取った。LedgerのCEOは後に公式に謝罪し、データ保持とセキュリティ慣行に過失があったことを認めた。

SafePalが今回直面しているのは、同じ教訓の再演である。違いは規模がより小さい（3.98万 vs 27万）ことだけであり、攻撃者の手口はまったく同じだ。

あなたは何をすべきか？

SafePalは勧告で標準的な安全対策を提示している。ニーモニックフレーズを共有しないこと、不審なリンクをクリックしないこと、メール内のリンクをクリックするのではなく公式サイトのURLを手入力すること。

しかし影響を受けたユーザーにとっては、もっと現実的にやるべきことがいくつかある。

最も緊急性が高いのは、SafePal名義で送られた「ファームウェアアップグレード」や「デバイス回収」の通知を受け取ったことがないかを確認することだ。疑わしいページでニーモニックフレーズを入力してしまった場合は、直ちに新しいウォレットを作成し、資産を移転すること。SafePalは勧告のなかで、電話、メール、その他いかなる経路でもニーモニックフレーズを要求することは決してないと明言している。

SafePalの専用確認ページで注文番号を使い、自分が影響範囲に含まれるかを調べ、確認できたら個人情報の削除を申請することができる。今後数か月間は、SafePalやコールドウォレットに言及した物理的な手紙や荷物はすべて不審なものとして扱うこと。SafePalは物理的な手紙を送ることは決してないと明確に述べている。

もしあなたの配送先住所が暗号資産の保管場所でもあるなら、物理的なセキュリティ対策を真剣に検討すべきだ。これは過剰反応に聞こえるかもしれないが、Ledger流出事件の後、実際にこのデータが原因で身体的な脅迫を受けたユーザーがいる。

暗号業界は10年をかけて、ユーザーに「秘密鍵をしっかり保管せよ」と教えてきた。SafePalとLedgerの教訓が示しているのは、攻撃者はとっくに秘密鍵を迂回しており、狙っているのは秘密鍵を持つその人自身だということだ。「誰が暗号資産を保有しているか」という情報が流出した時点で、どれほど堅牢なコールドストレージも保護を提供できない。

セキュリティチェーンで最も脆弱な輪は、決してチップや暗号技術ではなく、人間である。