SafePal (SFP) Veri Sızıntısı: 39.798 Müşteri Kaydı Açığa Çıktı

SFP Haberleri

Binance destekli donanım cüzdanı sağlayıcısı SafePal, SFP altcoininin arkasındaki ekip olarak, 16 Ağustos'ta sipariş takip eklentisindeki bir yetkilendirme açığının müşteri kayıtlarına yetkisiz erişime yol açtığını doğruladı. Şirketin resmi güvenlik açıklamasına göre etkilenen kullanıcı sayısı 39.798 olarak belirlenirken, bu kayıtlar 2 Mart 2025 ile 11 Nisan 2026 arasında verilen siparişleri kapsıyor. Açığa çıkan alanlar arasında tam adlar, e-posta adresleri, teslimat adresleri, telefon numaraları ve satın alma detayları yer alıyor. SafePal, tohum ifadeleri (seed phrase), özel anahtarlar, cüzdan şifreleri, banka hesap numaraları ve ödeme kartı verilerinin ihlalden etkilenmediğini ve hiçbir kanıtın cüzdanlara ya da fonlara erişim sağlandığını göstermediğini belirtti. Şirket, şüpheli e-postalarla ilgili ilk bildirimleri Mayıs ayı başında aldığını ancak bunları başlangıçta izole vakalar olarak değerlendirdiğini, Temmuz ayında ise daha kapsamlı bir soruşturma başlattığını söyledi. Buna rağmen çalınan liste, satıcının örnek sipariş kimliklerini ve gönderim ülkelerini paylaşarak gerçekliğini kanıtladığı karanlık web siber suç forumunda satışa sunulmuş durumda. Güvenlik araştırmacıları, ev adreslerinin donanım cüzdanı sahipliği kanıtıyla birleştirilmesinin yüksek değerli bir hedef listesi oluşturduğuna dikkat çekiyor. SafePal, etkilenen müşterilere 16 Ağustos'ta e-posta göndermeye başladığını ve sızıntıyla bağlantılı 30'dan fazla sahte web sitesi ile kimlik avı (phishing) bağlantısını kaldırdığını açıkladı.

Bu ihlal aynı zamanda daha geniş bir güvenlik tartışmasını yeniden gündeme getiriyor. Bir donanım cüzdanı özel anahtarı çevrimdışı tutabilir, ancak saldırılar giderek cihazın etrafındaki insani ve operasyonel katmanlara kayıyor. Harici bir sipariş takip eklentisinin istismar edilmesi, kör imzalamadan (blind signing) kaçınan ve iyi anahtar hijyeni uygulayan kullanıcıların bile satıcı tarafındaki veri işleme süreçleri üzerinden risk altına girebileceğini gösteriyor. Olay, Trezor'un lojistik ortağı ShipMonk'un tehlikeye atıldığını açıklamasından üç gün sonra yaşandı ve bu sıralama donanım cüzdanı sektörünü alarma geçirdi. Tekrarlanan olaylar, saldırganların cihazların şifrelemesini doğrudan kırmaya çalışmak yerine sipariş veritabanlarına odaklandığını gösteriyor. İsimlerin, adreslerin ve telefon numaralarının kripto para sahipliği kanıtıyla eşleştirilmesi, sızdırılan veritabanını hedefli kimlik avı, sahte destek çağrıları ve aşırı durumlarda fiziksel soygun için birinci sınıf bir araç haline getiriyor. SafePal, 30'dan fazla kötü amaçlı site ve kimlik avı bağlantısını kaldırdığını ve müşterilere beklenmedik iletişimlere şüpheyle yaklaşmalarını tavsiye etti. Bazı güvenlik uzmanları artık donanım cüzdanı teslimatları için ayrı bir adres kullanılmasını ve kurtarma ifadelerinin fiziksel riski azaltmak için birden fazla yerde saklanmasını öneriyor. Son kullanıcılar için pratik çıkarım, teslimat adreslerinin ve sipariş geçmişlerinin artık güvenlik çevresinin bir parçası olduğu.

Resmi güncellemesinde SafePal, savunmasız durumun yaklaşık 13 ay sürdüğünü — 2 Mart 2025'ten açığın bulunup düzeltildiği ana kadar — ve harici eklentinin takip özelliğinin belirli koşullar altında başka bir kullanıcının sipariş bilgilerini görünür kılabildiğini belirtti. Şirket, açığın cüzdan donanım yazılımında veya kriptografik anahtar deposunda değil, harici bir sipariş yönetimi eklentisinde bulunduğunu ve etkilenen müşterilere bildirimin security@safepal.com adresinden “[Önemli] SafePal Sipariş Bilgileriniz Etkilendi” konusuyla bireysel olarak gönderildiğini açıkladı. Aynı açıklamada paylaşılan iyileştirme adımları arasında, düzeltmeyi doğrulamak ve tüm sipariş işleme sistemini incelemek için bağımsız bir güvenlik firması tutulması, sipariş ortamındaki kişisel verilerin saklama süresinin 90 güne düşürülmesi ve üçüncü taraf lojistik ortaklarıyla sorunun daha fazla yayılmadığının doğrulanması yer alıyor. SafePal ayrıca 30'dan fazla dolandırıcılık sitesini ve kimlik avı bağlantısını kaldırdığını, etkilenen müşteriler için özel bir destek kanalı açtığını ve kullanıcıları yeni sahte bağlantıları bildirmeleri için bir dolandırıcılık koruma sayfasına yönlendirdiğini söyledi. Bu açıklama, sektörde bilinen bir örüntüyü takip ediyor; 2020'de Ledger, yaklaşık bir milyon müşteri e-posta adresinin alındığını ve yaklaşık 270.000 kişinin de isim, fiziksel adres ve telefon numarası kaybettiğini bildirmişti. Bu geçmiş, her yeni cüzdan kaynaklı sızıntının fonlara dokunulmamış olsa bile acil bir tehdit olarak ele alınmasının nedenidir.

Üç güncelleme boyunca net olan şey şu: bir donanım cüzdanı, etrafındaki web altyapısı ve süreçler kadar güçlüdür. SafePal'ın kendi güvenlik açıklaması analizin temelini oluşturuyor — 39.798 müşteri etkilendi, özel anahtarlar ve fonlar açığa çıkmadı ve 90 günlük saklama sınırı ile bağımsız incelemeyi içeren olay sonrası kontroller uygulandı. Bizim görüşümüze göre, acil tehlike zincir üstü kayıptan ziyade zincir dışı hedeflemede: sızdırılan detaylar, sahte airdrop teklifleri de dahil olmak üzere kimlik avı kampanyalarını ve hatta fiziksel tehditleri besleyebilir. Donanım cüzdanlarından Yapay Zeka Kripto Cüzdanı platformlarına kadar pozisyon yöneten kullanıcılar, satıcı veri uygulamalarını risk modellerinin bir parçası olarak görmeli ve kurtarma ifadeleri talep eden her türlü beklenmedik iletişimi saldırı olarak değerlendirmelidir.