สรุปข่าว
- รายงานล่าสุดระบุว่า SafePal อาจเผชิญเหตุข้อมูลลูกค้ารั่วไหลเกือบ 40,000 ราย โดยข้อมูลที่ถูกเปิดเผยมีทั้งชื่อ, ที่อยู่บ้านและหมายเลขโทรศัพท์
- ช่องโหว่ที่พบถูกกล่าวหาว่าอยู่ในระบบติดตามคำสั่งซื้อทำให้บุคคลภายนอกสามารถเข้าถึงรายละเอียดคำสั่งซื้อได้เป็นเวลานานกว่า 1 ปี
- ข้อมูลที่หลุดถูกนำไปใช้ต่อยอดการโจมตีแบบ Phishing โดยมีรายงานพบเว็บไซต์ปลอมที่แอบอ้างเป็น SafePal มากกว่า 30 แห่ง ขณะที่ SafePal ระบุในช่องทางตอบกลับลูกค้าว่ายังไม่พบหลักฐานว่าระบบของบริษัทหรือผู้ให้บริการบุคคลที่สามที่ยืนยันแล้วถูกเจาะ
แนวโน้มผลกระทบต่อราคา: Bearish
ประเด็นนี้มีแนวโน้มเป็นลบต่อเรื่องความปลอดภัยชัดเจนเพราะ SafePal เป็นผู้ให้บริการ Hardware Wallet ที่มีจุดขายหลักอยู่ที่ความปลอดภัย หากข้อมูลส่วนตัวและข้อมูลการสั่งซื้อของลูกค้าถูกนำไปใช้ในการ Phishing จริง ย่อมกระทบความเชื่อมั่นโดยตรง อย่างไรก็ตาม ผลกระทบต่อราคาอาจจะยังไม่เกิดขึ้นแต่ผลกระทบต่อความเชื่อมั่นลูกค้าจะเห็นได้ชัดเจนกว่า อย่างไรก็ดีข้อมูลที่รั่วออกไปไม่เกี่ยวข้องกับ Private Key หรือ Seed Phrase และ SafePal สามารถชี้แจงต้นตอของข้อมูลรั่วไหลได้อย่างชัดเจน
SafePal ถูกตั้งคำถาม หลังข้อมูลลูกค้าอาจรั่วไหลครั้งใหญ่
SafePal ผู้ให้บริการ Hardware Wallet ชื่อดัง กำลังเผชิญประเด็นด้านความปลอดภัย หลังมีรายงานว่าข้อมูลของลูกค้าเกือบ 40,000 ราย อาจถูกเข้าถึงโดยไม่ได้รับอนุญาตผ่านช่องโหว่ในระบบติดตามคำสั่งซื้อ โดยข้อมูลที่อาจได้รับผลกระทบประกอบด้วยชื่อ, ที่อยู่ และหมายเลขโทรศัพท์ ซึ่งเพิ่มความเสี่ยงต่อการถูกโจมตีแบบ Phishing ได้อย่างมีนัยสำคัญ
รายงานดังกล่าวถูกเผยแพร่โดย Coin Bureau โดยระบุว่าช่องโหว่ในปลั๊กอินสำหรับติดตามคำสั่งซื้อเปิดช่องให้ผู้ไม่หวังดีเข้าถึงรายละเอียดคำสั่งซื้อได้เป็นเวลานานกว่า 1 ปี และข้อมูลดังกล่าวถูกนำไปใช้ในการสร้างเว็บไซต์ Phishing ที่แอบอ้างเป็น SafePal มากกว่า 30 เว็บไซต์
ข้อมูลรั่วไหลอาจกลายเป็นอาวุธของมิจฉาชีพ
ประเด็นที่น่ากังวลไม่ได้อยู่ที่ข้อมูลส่วนตัวเพียงอย่างเดียว แต่คือ ข้อมูลเหล่านี้สามารถนำไปสร้างความน่าเชื่อถือให้กับการหลอกลวงได้
ตัวอย่างเช่น หากมิจฉาชีพรู้ว่าผู้เสียหายเคยซื้อ SafePal รุ่นใดรุ่นหนึ่ง พร้อมชื่อ, ที่อยู่และหมายเลขโทรศัพท์ ก็สามารถติดต่อโดยอ้างตัวเป็นฝ่าย Support และแจ้งว่า Hardware Wallet ของเหยื่อมีปัญหาด้านความปลอดภัย ก่อนหลอกให้ติดตั้ง Firmware ปลอม หรือกรอก Seed Phrase
รูปแบบดังกล่าวไม่ได้เป็นเพียงความเป็นไปได้ในทางทฤษฎี เพราะมีผู้ใช้บางรายออกมาเปิดเผยว่าได้รับอีเมลและโทรศัพท์ที่มิจฉาชีพรู้ข้อมูลคำสั่งซื้อของพวกเขาอย่างละเอียด รวมถึงชื่อ ที่อยู่ และรายละเอียดการซื้อ ขณะที่บางรายระบุว่ามิจฉาชีพพยายามหลอกให้เปลี่ยนอุปกรณ์หรืออัปเดต Firmware ผ่านเว็บไซต์ปลอม
SafePal เคยระบุว่าข้อมูลคำสั่งซื้อจะถูกลบหลัง 6 เดือน
สิ่งที่น่าสนใจคือ SafePal เคยเผยแพร่นโยบายด้านความเป็นส่วนตัวระบุว่า ข้อมูลคำสั่งซื้อ Hardware Wallet ที่จัดส่งสำเร็จแล้วจะถูกเก็บไว้ประมาณ 6 เดือน ก่อนถูกลบออกจากระบบ เพื่อรองรับการคืนสินค้าและบริการหลังการขาย
ดังนั้น หากข้อกล่าวหาว่าข้อมูลสามารถเข้าถึงย้อนหลังได้เป็นเวลามากกว่า 1 ปีเป็นจริง ก็จะกลายเป็นประเด็นสำคัญว่าข้อมูลถูกเก็บอยู่ที่ใด, ใครสามารถเข้าถึงได้ และช่องโหว่เกิดขึ้นในระบบของ SafePal เองหรือผู้ให้บริการภายนอกที่เกี่ยวข้องกับการสั่งซื้อและจัดส่ง
อย่างไรก็ตาม ยังไม่ควรสรุปว่า Private Key หรือ Seed Phrase ของผู้ใช้ถูกขโมย เพราะข้อมูลที่มีการกล่าวถึงในขณะนี้เป็นข้อมูลส่วนบุคคลและรายละเอียดคำสั่งซื้อ ไม่ใช่ข้อมูลที่ใช้ควบคุมสินทรัพย์โดยตรง
พบเว็บไซต์ปลอมแอบอ้าง SafePal เพิ่มขึ้น
อีกหนึ่งความเสี่ยงคือข้อมูลที่อาจรั่วไหลสามารถถูกนำไปใช้สร้างเว็บไซต์ปลอมเพื่อหลอกผู้ใช้งานได้ โดยข้อมูลจากฐานข้อมูลด้านความปลอดภัยไซเบอร์พบเว็บไซต์หลายแห่งที่แอบอ้างชื่อ SafePal และถูกจัดเป็นเว็บไซต์หลอกลวงหรือปลอมแปลงแบรนด์ในปี 2026 เช่น safepal2026.com, setup-safepal.app รวมถึงโดเมนอื่น ๆ ที่นำชื่อ SafePal ไปใช้เพื่อหลอกผู้ใช้งาน
ก่อนหน้านี้ SafePal เองก็เคยเตือนผู้ใช้เกี่ยวกับเว็บไซต์, แอปพลิเคชันและบัญชี Social Media ปลอมที่แอบอ้างเป็นบริษัท พร้อมย้ำว่าเจ้าหน้าที่ SafePal จะไม่ติดต่อผู้ใช้ผ่าน Social Media หรือขอ Seed Phrase โดยเด็ดขาด
กรณี SafePal ถือเป็นอีกหนึ่งบทเรียนสำคัญของวงการ Hardware Wallet เพราะแม้ตัว Hardware Wallet จะไม่ได้ถูกเจาะและไม่มีหลักฐานว่า Seed Phrase ถูกขโมย แต่ ข้อมูลส่วนตัวของเจ้าของ Wallet ก็สามารถกลายเป็นช่องทางโจมตีที่อันตรายได้ไม่แพ้กัน
ในมุมมองผู้เขียน สิ่งที่ต้องจับตาต่อจากนี้ไม่ใช่เพียงจำนวนข้อมูลที่อาจรั่วไหล แต่คือคำตอบของ SafePal ว่า ข้อมูลดังกล่าวหลุดมาจากระบบใด และเหตุใดจึงสามารถเข้าถึงได้นานขนาดนี้ หากบริษัทสามารถระบุต้นเหตุและแก้ไขช่องโหว่ได้อย่างโปร่งใส ความเสียหายต่อความเชื่อมั่นอาจจำกัดอยู่ในระยะสั้น แต่หากยังไม่มีคำอธิบายที่ชัดเจน ประเด็นนี้อาจกลายเป็นแรงกดดันต่อแบรนด์และ SFP ในระยะยาว
ที่มา: Coin Bureau, SafePal Privacy & Security, PhishDestroy, Trustpilot
