詐欺師がイタリアの顧客宅に偽のSafePal書簡を郵送、約4万件の同社製暗号資産ハードウェアウォレット購入者の氏名、住所、注文情報流出を悪用。
SafePalは、同社ウォレット自体の安全性は維持されているとしている。標的はウォレット所有者。復元フレーズ（どの端末でもウォレットを再現できるバックアップワード）を偽サイトに入力すると、保有する全てのコインを詐取される。
偽SafePal書簡の手口
書簡は、受取人のウォレットにファームウェアの欠陥（端末内蔵ソフトウェアの問題）があると主張する。
QRコードを読み取ると、Arweaveネットワーク（ファイルを恒久保存するためのネットワーク）上の偽SafePalサイトが表示される。書簡とサイトのいずれにも、顧客の本名や住所、注文情報が含まれる。
SafePalは木曜日にX上で詐欺の存在を認め、2025年8月の情報流出との関連を示した。
「これらの書簡はSafePal発ではなく、ウォレットの基盤インフラは安全である。SafePalが書面で郵送やシードフレーズの要求を行うことはない」とチームが確認。
また、受取人には書簡およびQRコードの画像を同社の詐欺対策ページから通報するよう求めた。これにより該当サイトの閉鎖を目指す。
流出した住所が詐欺師に狙われ続ける理由
SafePalは2025年8月16日に、注文追跡プラグインの不具合で2025年3月から2026年4月にかけての顧客3万9798件の注文情報が流出したと公表した。
氏名やメールアドレス、住所、電話番号、購入内容が流出した。同社によると、復元フレーズや秘密鍵、カード番号は含まれていなかった。
BeInCryptoは当時、SafePalの流出では有効期限のない住所情報が外部に出たことを警告していた。
Ledgerの顧客も同様の事例を経験している。同社の2020年情報漏えいでは約27万2000人分の郵便宛先が流出し、2025年には偽Ledger書簡が届く事態となった。
Trezorでは2025年8月、配送パートナーから1万3689件の顧客情報が流出した。現時点でTrezorおよびSafePalのウォレット本体に関する流出は報告されていない。
