SafePal偽造文書がイタリアの顧客宅に郵送される 39,798件の情報漏えいを悪用

イタリアの一般家庭に届く偽SafePal文書

ハードウェアウォレット大手のSafePalで8月に発生した情報漏えいを悪用し、偽造した同社名義の文書がイタリアの顧客の自宅住所に直接郵送される被害が始まった。文書は受け取り人の端末にファームウェアの不具合があると主張し、紙面に印字されたQRコードから修正するよう指示する内容だ。QRコードが誘導するのは、ファイルを半永久的に保存できる分散型ストレージネットワーク「Arweave」上に設営された偽サイトで、通常のホスティングとは異なり削除申請が通りにくい。文書にもサイトにも、受け取り人の実名、住所、注文情報が正しく表示されており、この正確さが文書の信憑性を高めている。狙いはリカバリーフレーズ、つまり任意の端末でウォレットを復元できるバックアップ用の単語群だ。偽サイトに入力してしまえば、その単語群だけで攻撃者の端末上に残高を復元でき、ウォレット内の全資産を失う。イタリアのコミュニティ系アカウントが11月12日のX投稿でこの手口を公開し、正確な個人情報と個人化されたリンクが添付された文書がSafePal購入者に届いていると報じた。SafePalのサポートチームは同じ木曜日のうちにこの手口を確認し、8月の漏えいとの関連を明らかにした。チームは「この文書はSafePalからのものではない」と述べ、ウォレットの基盤は安全であること、同社が郵便物を送ったりシードフレーズを求めたりすることは決してないと強調した。受け取り人には、QRコードが見える状態で同社の詐欺対策ページから報告するよう求められており、通報を機に偽サイトの閉鎖が進められる。常時ネット接続のホットウォレットと異なり、ハードウェアウォレットは取引にオフラインで署名する構造であり、だからこそ攻撃者は端末ではなくフレーズを狙う。

8月の漏えいとLedgerの前例

郵送に使われた住所リストの出所は、SafePalが8月16日に公表したセキュリティ開示だ。同社の発表によると、注文追跡用のプラグインの脆弱性により、2025年3月から2026年4月の間に注文した39,798人の顧客の注文情報が外部に露出した。このプラグインは公式オンラインストアで配送状況の追跡を担っており、ウォレット内部のセキュリティとは無関係だった。漏えいしたのは氏名、メールアドレス、住所、電話番号、購入内容で、リカバリーフレーズ、秘密鍵、カード番号は含まれていないと同社は説明する。SafePalは郵送された文書の総数や、イタリア以外の受け取り人の有無については言及していない。住所は失効しないため、当初の漏えいから数か月を経てこの手口が出現した事実は、流出データがまだ流通していることを示唆する。前例は古くない。Ledgerは2020年の漏えいで約272,000人分の住所を流出し、偽Ledger文書が家庭に届き始めたのはその5年後の2025年だった。さらに今年8月にはTrezorの配送パートナーから13,689件の顧客記録が流出し、ハードウェアウォレット3社目がこのリストに加わった。TrezorもSafePalもウォレット本体への侵入は報告しておらず、いずれの事案でも端末は無傷で、露出したのは端末を取り巻く顧客データだった。取引所の預け入れとどう違うのか分からない保有者には、端末が実際に何に署名しているかを解説したハードウェアウォレットの仕組みガイドが参考になる。今回のような事案が起きても、コールドウォレットとネット接続アカウントの実務上の境界線は変わらない。秘密鍵はハードウェア側でオフラインに保たれ、データ漏えいが変えるのは所有者の住まいを誰が知っているかという一点だけだ。

これまでの記録が示す点は一つに集約される。ウォレットそのものは破られておらず、この詐欺は受け取り人がフレーズを入力してはじめて成立する。SafePal自身の声明という一次資料も、ウォレット基盤の安全性と、郵便でシードフレーズを求めることはないという方針を明示している。露呈の範囲は8月以来ずっと住所データにとどまり、防御も従来どおりユーザー側に委ねられている。リカバリーフレーズを求める文書は、どのロゴを掲げていようと定義上すべて詐欺であり、これに従わない保有者の資産は元の位置に留まる。