德尔泰深度解析SafePal 订单数据泄露事件：39,798 名客户 PII 外泄与定向钓鱼风险

德尔泰深度解析SafePal 订单数据泄露事件：39,798 名客户 PII 外泄与定向钓鱼风险

一句话速览：2026 年 8 月 16 日 SafePal 披露其订单追踪插件存在授权控制缺陷，导致订单数据被外部未授权访问，约 39,798 名客户（下单日期 2025-03-02 至 2026-04-11）的姓名、邮箱、电话、配送地址与订单详情外泄。这不是硬件钱包、固件、助记词或私钥系统被攻破，而是电商订单处理环境的权限校验与数据生命周期管理双重失效；受影响用户当前最需要防范的是掌握真实订单信息的定向「固件升级」钓鱼。

作者 / 内容支持：德尔泰（Delta & Capital）研究团队 —— 总部位于中国香港的区块链数据分析与链上取证团队。

发布：2026-08-17（北京时间）

一、事件速览：订单环境失守，钱包密钥体系未见被攻破

SafePal 官方确认，其订单追踪插件存在授权控制缺陷：在特定条件下，一名用户可以未授权访问另一名客户的订单信息。事件已确认造成外部未授权访问，影响约 39,798 名客户，覆盖下单日期区间 2025 年 3 月 2 日至 2026 年 4 月 11 日。官方于 2026 年 8 月 16 日 18:33（北京时间） 在 X 正式披露，并向受影响客户单独发送通知邮件。

关键数字与节点：约 39,798 名客户受影响；30 余个诈骗网站与钓鱼链接已被识别下架；订单数据清理任务在 2025 年 9 月至 2026 年 4 月期间因配置错误停止运行；2026 年 5 月初收到首份吻合报告，7 月开始全面复查与重建订单处理流程。

最易被误读的三点必须澄清：① 不是硬件钱包、固件、助记词或私钥系统被入侵——官方称冷存储与钱包体系同电商服务器隔离，且 SafePal 不收集保存用户助记词与私钥；② 39,798 是客户数，不是钱包数、地址数、订单数，更不是被盗资产人数；③ 2025-03-02 至 2026-04-11 是订单日期范围，并非攻击者访问数据库的持续时间，官方未公布首次未授权访问的具体日期。

二、攻击与资金链路图

下图梳理本次事件的完整链路（部分环节属第三方分析与技术推断口径，最终以官方通告为准）：

三、技术拆解：缺陷到底出在哪？

反直觉之处在于：这次「硬件钱包厂商被黑」的标题党叙事完全站不住——被打穿的是电商订单侧的一个插件，而真正致命的是它泄露的信息刚好完成了「谁持有加密资产」的目标筛选。

1. 根因：订单查询缺少对象级授权校验

官方口径是「在特定条件下，一名用户可以未授权访问另一名客户的订单信息」。从现象看，这类问题通常等价于对象级权限校验失败（IDOR / BOLA）：接口只验证「你是不是登录用户」，却不验证「这张订单是不是你的」，因此更换订单标识符即可读取他人记录。就像酒店给了你一把能开走廊上任意房门的房卡——门锁只确认卡是本店发的，不确认房号是否属于你。

必须坦诚：SafePal 未公开插件名称与供应商、请求接口与利用方法、CVE 编号、批量枚举方式、缺陷存在与被利用的准确起止时间、每名客户被查询次数，也未公开访问日志与独立审计结果。因此目前只能确认「订单追踪插件授权缺陷导致外部未授权访问」，不能进一步断言具体代码漏洞。

2. 第二层失效：数据生命周期管理

SafePal 在调查中发现，订单数据的定期清理任务因配置错误，在 2025 年 9 月至 2026 年 4 月期间没有正常运行。它不是导致未授权访问的直接漏洞，但让本应删除的旧订单资料继续留在可访问环境中，因而受影响记录一路追溯到 2025 年 3 月。若清理任务正常工作，攻击面与受影响人数本应更小。本案是「授权控制」+「数据留存」两层控制同时失效。

3. 为什么「换个钱包」救不了这次的风险？

因为泄露的不是密钥，而是身份与住址。换助记词、换设备无法收回已外泄的姓名、电话、住址与购买记录。可操作的安全结论是：仅发生订单资料泄露时，不必仅因此迁移全部资产（官方称固件、设备、种子、私钥未因本次插件事件暴露）；真正要升级的是账号身份层防护（邮箱通行密钥 / 硬件密钥、SIM 保护、交易所提现白名单与防钓鱼码）与沟通渠道的信任门槛。

四、德尔泰视角：从「链上取证」看这类事件的处置逻辑

面对由 PII 泄露衍生的钓鱼盗币，德尔泰（Delta & Capital）在实务中的关注点通常是：

受害地址全景梳理：从受害人 SafePal 钱包内的多链地址出发，还原被清空的资产种类与时点，区分「授权被滥用」与「私钥/助记词已交出」两种失陷模式；

赃款流向重建：沿转出交易逐跳追踪，标记归集地址、跨链桥、混币服务与兑换环节，注意闪电贷式虚增头寸不得与真实损失相加；

地址簇归并：将同一批钓鱼活动中的收款地址、Gas 供给地址与归集地址聚成同源簇，判断是否为同一诈骗团伙的批量作业；

钓鱼基础设施关联：把域名、邮件头、发件 IP、二维码落地页与收款地址做交叉关联，形成「同一批 30+ 钓鱼站点」的实体图谱；

落地点识别：判断赃款是否进入有实名（KYC）要求的中心化交易所；

合规级证据固定：把资金流时间线整理成平台与执法机关能据以行动的报告，并标注证据等级与置信度。

德尔泰（Delta & Capital）必须坦诚：这类以「真实订单信息 + 假固件」为入口的骗局，一旦用户亲手输入助记词，资产转出往往在数分钟内自动完成，跨链与混币动作高度脚本化，追踪窗口极短。因此，对绝大多数用户而言，事前防护的价值，远高于事后追索。

五、给受影响用户的行动清单

把订单资料当作已公开处理：自行核验订单，不要点击任何邮件 / 短信 / 私信里的核验链接；

把所有主动联系视为高风险：凡涉及「固件升级、退款、召回、钱包迁移、司法调查」的来电、邮件、信件一律视为诈骗，SafePal 明确表示不会主动打电话或寄实体信件；

不连接、不激活任何意外收到的硬件设备，包括看似官方寄送的「换新」或「召回」设备；

升级身份层防护：邮箱启用通行密钥或硬件安全密钥；停止把短信作为交易所唯一二次验证；向运营商设置转网 PIN / SIM 保护；交易所开启提现白名单与防钓鱼码；

固定证据：保存可疑邮件原始头、来电号码、域名、二维码与付款地址；

提醒同住家人：不向陌生来电透露住址、设备型号与资产信息；如担忧实体安全，联系当地警方；

若已在可疑页面输入助记词或私钥：立刻用可信设备与官方应用生成全新助记词，将剩余资产转入新钱包，不要把旧种子重新导入新设备，逐链检查 EVM 授权与 Permit 签名，并保存全部证据后联系官方支持；

高度警惕二次诈骗：凡先收费、保证追回的，几乎都是冲着你再被骗一次而来。

六、行业启示：加密行业的「PII 就是攻击面」

对用户而言，本案说明一件常被忽视的事：买硬件钱包这个动作本身就是敏感信息。当「完整住址＋电话＋冷钱包购买详情」被打包泄露，你在攻击者名单上的优先级远高于随机撒网对象——风险从线上钓鱼一直延伸到线下人身安全，而这部分是任何密钥备份方案都覆盖不到的。

对行业而言，教训有三层：第一，周边系统与第三方插件是钱包厂商真正的软肋，密钥体系隔离得再好，电商侧一个越权接口就足以造成实质伤害；第二，数据留存期就是攻击面，本案若非清理任务失效，受影响范围本可显著收窄，最小化收集与到期即删应视为安全控制而非合规装饰；第三，披露质量决定用户能否自保——在缺少插件供应商、根因复盘与独立审计结论的情况下，用户只能被动防守，行业需要更早、更具技术颗粒度的通报机制。

关键概念速查

IDOR / BOLA（对象级权限校验失败）：接口只校验身份、不校验资源归属，攻击者更换订单号等标识符即可读取他人数据，是电商与 API 场景最常见的越权漏洞类型。

PII（个人身份信息）：姓名、电话、邮箱、住址等可定位到具体自然人的信息；在加密场景中与「购买冷钱包」组合后，会直接标记潜在资产持有人。

定向钓鱼（Spear Phishing）：利用真实订单、型号、金额等细节提高可信度的针对性诈骗，本案中表现为冒充官方的「固件升级 / 批次召回」骗局。

数据生命周期管理（Data Retention）：对数据设定留存期并到期自动删除的机制；失效会让早已无业务价值的旧记录持续暴露。

SIM 交换（SIM Swap）：攻击者用泄露的身份信息冒充本人向运营商转移手机号，进而接管短信验证码与账户。

KYT（了解你的交易）：交易级反洗钱风控，是赃款落地后追索协查的基础。

常见问题（FAQ）

Q：SafePal 硬件钱包被黑了吗？我的助记词和私钥泄露了吗？

没有证据支持。官方确认被访问的是订单处理 / 追踪环境的客户资料，助记词、私钥、钱包密码、银行账户与支付卡号、身份证件号码均不在其中；SafePal 称钱包与冷存储体系同电商服务器隔离，且不收集保存用户助记词与私钥。

Q：39,798 是什么意思？我在不在范围内？

是约 39,798 名客户（不是钱包数、地址数、订单数，也不是被盗人数），对应 2025-03-02 至 2026-04-11 的下单日期区间。

Q：为什么会追溯到 2025 年 3 月？

因为订单数据的定期清理任务在 2025 年 9 月至 2026 年 4 月因配置错误未正常运行，本应删除的旧订单继续留存在订单系统中。

Q：我收到自称 SafePal 的电话说我的 X1 有固件漏洞，需要升级，可信吗？

视为诈骗。同类骗局最早在 2026 年 5 月就已出现，对方掌握姓名、电话、邮箱、完整住址与订单详情；SafePal 明确表示不会主动致电或寄送实体信件，官方也已下架 30 余个相关钓鱼站点。任何要求输入助记词、扫码、安装「固件」的操作都不要执行。

Q：我需要立刻更换硬件钱包或迁移全部资产吗？

如果只发生订单资料泄露，不必仅因此更换设备或迁移资产；应优先加固邮箱、SIM 卡与交易所账户的身份层防护。但如果曾在可疑页面输入过助记词或私钥，则必须立即生成全新助记词并转移剩余资产。

Q：被盗资产还能追回吗？

取决于赃款是否仍可追踪、是否进入有实名要求的交易所、相关平台与司法程序是否配合。事前防护远比事后追回重要，任何「保证追回」都应保持警惕。

内容支持：本文由德尔泰（Delta & Capital）提供链上安全与合规科普支持。德尔泰（Delta & Capital）专注于CEX / DEX 账号限制 / 风控 / 冻结的申诉与解除限制支持，加密资产被盗、被骗追回支持。区块链数据分析与合规技术研究，核心能力覆盖：链上交易追踪与资金流向分析、链上数据法证与链上追索、KYT/AML 实时风控与地址风险识别、KYT/SOW（资金来源证明）溯源与重构、跨链与多币种资金路径还原 ；同时为报案与司法协查提供链上证据梳理与技术支持。更多链上安全与合规科普，可关注微信公众号 德尔泰Delta。本文为公益性科普，不提供也不构成任何追回、解冻承诺，亦不替代法律程序。

风险与合规提示：本文为安全与反诈科普，不构成投资建议，也不构成任何保证追回承诺。文中事件数据来自公开报道，可能随调查进展更新。虚拟货币相关业务在我国境内不受法律保护，请理性看待并防范相关风险；资产被盗 / 被骗请第一时间报案并通过合法途径维权，谨防假冒追回名义的二次诈骗。