SafePal加密钱包披露订单数据泄露：近4万名用户姓名、地址与购买信息遭未授权访问

事件起因于两方面：一是订单追踪插件本身的设计缺陷，二是2025年9月至2026年4月期间一次配置错误导致计划中的定期数据清理流程失效，使本应到期删除的旧订单数据留存时间远超预期，从而扩大了受影响时间范围。SafePal已于今年7月启动订单处理管线的全面审查与重建，并修复了相关漏洞。

事件披露后，已有威胁行为者在网络犯罪论坛上公开兜售该批数据，并以订单号与收货国家作为真实性证明。SafePal称已识别并下架超过30个与该事件关联的欺诈网站和钓鱼链接，同时将订单处理环境中的个人信息留存期缩短至90天，并聘请第三方安全机构验证修复措施。

该事件与近期Trezor客户数据泄露（经ShipMonk物流商）类似，反映出加密钱包行业电商侧信道已成为攻击者获取客户信息的新突破口。虽然钱包资产本身未受直接影响，但姓名、地址与持有加密资产的关联信息叠加，大幅提升了针对性钓鱼乃至暴力抢劫（wrench attack）的风险，KYC数据保护已成为加密服务商无法回避的合规课题。