Взлом SafePal не украл криптовалюту. Он украл кое-что похуже.

16 августа SafePal раскрыла информацию об уязвимости в плагине отслеживания заказов, которая открыла доступ к персональным данным 39 798 клиентов. Имена, адреса электронной почты, номера телефонов, адреса доставки и сведения о покупках были доступны через эту уязвимость более года: с 2 марта 2025 года по 11 апреля 2026 года.

Ни одна сид-фраза не была похищена. Ни один приватный ключ не был скомпрометирован. Ни одна криптовалюта не была переведена. SafePal прямо заявила об этом в своём раскрытии, и это правда.

Но для тех, кто торгует бессрочными фьючерсами на прозрачной цепочке наподобие Hyperliquid, такая формулировка полностью упускает суть. Взлом не забрал вашу криптовалюту. Он передал злоумышленникам карту с вашим домашним адресом и квитанцией, подтверждающей, что вы ею владеете.

Что именно утекло (и почему это важнее, чем ключи)

В результате взлома SafePal утекли данные о заказах: имена клиентов, адреса электронной почты, номера телефонов, физические адреса доставки и история покупок. Ошибка в конфигурации процесса очистки данных SafePal привела к тому, что записи, начиная с марта 2025 года, сохранились там, где должны были быть удалены.

Если вы заказывали аппаратный кошелёк с доставкой домой, ваше имя и адрес теперь находятся в датасете, который, по имеющимся сведениям, продаёт один из злоумышленников. Само по себе это опасно. Но реальная угроза возникает, когда эту информацию сопоставляют с публично видимой активностью в блокчейне.

Трейдеры бессрочных контрактов на прозрачных цепочках имеют полностью открытую историю позиций. Балансы кошельков, объёмы позиций, кредитное плечо, история PnL. Всё публично. Единственным барьером между этими финансовыми данными и реальным человеком всегда была псевдонимность. Такой взлом снимает этот барьер.

Это не первый случай. Это закономерность.

SafePal не первый кошельковый провайдер, допустивший утечку пользовательских данных. Закономерность хорошо прослеживается и набирает обороты.

Ledger, 2020: Взлом раскрыл данные примерно 272 000 клиентов: имена, физические адреса и номера телефонов. Последствия растянулись на годы. Фишинговые кампании нацеливались на жертв с поддельными обновлениями прошивки. В 2021 году преступники физически рассылали по адресам из утёкшей базы подделанные «сменные» устройства с фальшивыми фирменными бланками, инструктирующими жертв вводить фразы восстановления на модифицированном оборудовании. Некоторые клиенты и руководители Ledger подверглись попыткам ограбления.

Trezor, август 2026: За несколько дней до раскрытия информации SafePal Trezor объявила, что в результате взлома партнёра по доставке ShipMonk были скомпрометированы данные примерно 13 689 клиентов, получивших заказы в период с 10 мая по 8 августа 2026 года. Атака использовала критическую SQL-инъекцию нулевого дня в аналитической платформе ShipMonk, Metabase. Политика Trezor по хранению данных в течение 90 дней ограничила ущерб недавними заказами, а не полной историей клиентов.

SafePal, август 2026: Пострадавшие 39 798 клиентов оказались в худшем положении. Сбой в процессе очистки данных SafePal означал, что записи более чем за год сохранились, предоставив злоумышленникам значительно более широкое окно клиентских данных.

Каждый из этих взломов раскрыл одно и то же: доказательство того, что человек владеет криптовалютой, вместе с его физическим местоположением. Сама криптовалюта оставалась в безопасности. Мишенью становился тот, кто ею владел.

Атаки с применением насилия стремительно растут

Есть причина, по которой эта закономерность сейчас важнее, чем в 2020 году. Физические нападения на держателей криптовалюты идут на рекорд по количеству случаев.

Chainalysis задокументировала 46 инцидентов с применением насилия, связанных с криптовалютой, за период до конца июня 2026 года, причём только в первом полугодии было похищено более $30 миллионов. Если темп сохранится, 2026 год превзойдёт рекорд полного года в $58 миллионов, установленный в 2025 году.

Сдвиг в тактике весьма значителен. Доля ограблений на дому выросла с 26% задокументированных инцидентов в 2023 году до 37% к середине 2026 года. Злоумышленники всё чаще нацеливаются на членов семей и знакомых жертв, которые к началу 2026 года составили около четверти задокументированных случаев. Только во Франции к середине 2026 года было зафиксировано 30 публично известных случаев насилия, связанных с криптовалютой.

Chainalysis чётко сформулировала суть происходящего: «Преступники осознали, что держатели криптовалюты являются высокоценными целями, поскольку обладают состоянием в мгновенно и безвозвратно переводимой форме».

Утечка данных, подобная случившейся с SafePal, не похищает ваши средства напрямую. Она предоставляет данные для прицельного наведения, делающие возможными эти физические атаки. Имя. Адрес. Доказательство владения криптовалютой. Это полный арсенал.

Почему трейдеры бессрочных контрактов подвергаются повышенному риску

Если вы торгуете бессрочными контрактами на прозрачной цепочке наподобие Hyperliquid, ваша уязвимость заметно выше, чем у спотового держателя с аппаратным кошельком в холодном хранилище.

Каждая открытая позиция видна в блокчейне. Ваше кредитное плечо, цена входа, нереализованный PnL, расстояние до ликвидации. Всё это доступно всем желающим. Блокчейн-эксплореры, аналитические дашборды и системы когортной классификации непрерывно индексируют эти данные.

Для спотового держателя злоумышленнику нужно угадать, является ли кошелёк высокоценной целью. Для трейдера бессрочных контрактов ответ уже публичен. Наши данные классифицируют каждый кошелёк в Hyperliquid по одной из 16 поведенческих когорт: восемь по размеру (от Shrimp с $0-$250 до Leviathan с $5M+) и восемь по всему историческому PnL (от Money Printer с +$1M до Giga-Rekt ниже -$1M). Если вы торгуете в когортах Whale, Tidal Whale или Leviathan, размеры ваших позиций видны любому желающему.

Эта прозрачность является особенностью рынков. Она делает торговлю в блокчейне верифицируемой, проверяемой и устойчивой к манипуляциям так, как централизованные биржевые книги никогда не смогут. Но это также означает: если злоумышленник сможет связать адрес вашего кошелька с вашей реальной личностью — через утечку данных, ENS-имя, пост в соцсетях или код сборщика — он будет точно знать, сколько у вас есть.

Идентификационный слой всегда является самым слабым звеном

Криптовалютная индустрия годами укрепляла криптографический слой. Аппаратные кошельки, мультиподписи, защищённые анклавы, подписание без подключения к сети. Это реальные и значимые улучшения. Но идентификационный слой — связь между кошельком и реальным человеком — привлекал значительно меньше внимания.

Рассмотрим цепочку хранения данных при заказе аппаратного кошелька. Вы указываете настоящее имя. Домашний адрес. Электронную почту. Номер телефона. Иногда удостоверение личности для KYC на стороне платёжного процессора. Все эти данные хранятся у производителя кошелька, платёжного процессора, партнёра по доставке и каких-угодно сторонних аналитических плагинов и плагинов отслеживания заказов, которые они используют.

Взлом SafePal произошёл через сторонний плагин отслеживания заказов. Взлом Trezor — через поставщика аналитики ShipMonk, Metabase. Прошивка и аппаратное обеспечение кошельков были в порядке. Уязвимость находилась в инфраструктуре вокруг кошелька — непримечательной инфраструктуре электронной коммерции и фулфилмента.

Вывод для разработчиков: Если вы создаёте торговые инструменты, ботов или дашборды, работающие с пользовательскими данными, ваш периметр безопасности распространяется на каждого вендора в вашем стеке. Уязвимость в плагине отслеживания заказов так же опасна, как уязвимость в смарт-контракте, поскольку для пользователя итог может обернуться физическим вредом.

Что следует делать трейдерам бессрочных контрактов прямо сейчас

Если вы когда-либо заказывали аппаратный кошелёк, покупали криптовалютное оборудование или регистрировались в сервисе с физической доставкой, ваши персональные данные уже могут находиться в базе данных какого-то вендора, о котором вы никогда не задумывались. Вот как сократить поверхность атаки.

Разделите торговые кошельки и кошельки для хранения

Держите долгосрочные активы в холодном кошельке, не связанном в блокчейне с вашим активным торговым адресом. Используйте промежуточные кошельки и мосты, чтобы запутать след. Цель — не дать злоумышленнику, изучившему вашу историю торговли бессрочными контрактами, выйти на холодное хранилище, стоимость которого кратно превышает ваш активный торговый капитал.

Используйте почтовый ящик или постамат для заказов, связанных с криптовалютой

Это единственный наиболее эффективный шаг для предотвращения превращения утечек данных в физические угрозы. Если утёкшая база данных SafePal показывает, что ваш заказ был доставлен на абонентский ящик, злоумышленник знает, что вы владеете криптовалютой, но не знает, где вы живёте. Trezor планирует опцию «Анонимной доставки» с получением в постаматах и нейтральной упаковкой — с целевой доступностью для ЕС к сентябрю 2026 года.

Минимизируйте связи между блокчейном и личностью

ENS-имена, профили в соцсетях, коды сборщиков и публичные появления в таблицах лидеров создают доступные для поиска связи между вашим кошельком и вашей личностью. Если вы торгуете в объёмах, привлекающих внимание, рассмотрите использование отдельных кошельков для публичной деятельности и отдельных для основной торговли.

Защитите номер телефона

Утёкшие номера телефонов служат точкой входа для SIM-свопинга, который по-прежнему остаётся одним из наиболее распространённых векторов атак на держателей криптовалюты. Используйте отдельный номер для криптовалютных аккаунтов, включите блокировку SIM у оператора и переведите всю аутентификацию на аппаратные ключи там, где это возможно.

Проверьте свой след у вендоров

Просмотрите все криптовалютные сервисы, у которых есть ваше настоящее имя и домашний адрес. Производители аппаратных кошельков, биржи с KYC, сервисы по подписке. Запросите удаление данных там, где это возможно. Ваша защита определяется защитой самого слабого вендора в вашей цепочке.

Мониторинг рынка через когортные данные

Взлом SafePal напоминает: реальная модель угроз для трейдеров бессрочных контрактов — это не эксплойт смарт-контракта и не взлом протокола. Это идентификационный слой. А на прозрачных цепочках финансовые данные, делающие вас мишенью, уже публичны.

Понимание того, как классифицируется ваш кошелёк, имеет значение. Наши данные классифицируют каждый активный кошелёк в Hyperliquid по поведенческим когортам на основе размера позиции и всей исторической доходности. Если вы создаёте торговые инструменты, системы управления риском или дашборды для портфелей, когортная аналитика поможет вам понять рыночную структуру вокруг ваших позиций: кто накапливает, кто выходит и где сосредоточен риск концентрации.

Узнайте, как классифицируется ваш кошелёк

API HyperTracker классифицирует каждый кошелёк Hyperliquid по 16 поведенческим когортам по размеру и PnL. Один API-запрос даёт полную картину.

Explore HyperTracker

Самый важный взлом — тот, который вы не контролируете

SafePal устранила уязвимость, наняла независимую компанию по безопасности для проверки исправления, сократила срок хранения данных до 90 дней и удалила более 30 фишинговых сайтов. Это правильные шаги. Но для 39 798 клиентов, чьи данные уже утекли, ущерб нанесён. Этот датасет не имеет срока годности.

Взлом Ledger в 2020 году доказал это. Шесть лет спустя утёкшие данные всё ещё циркулируют. Жертвы по-прежнему получают фишинговые атаки. Датасет превратился в постоянный ресурс, который переиспользуется в кампаниях по электронной почте, SMS и физической почте.

Если вы торгуете бессрочными контрактами, ваша финансовая активность уже видна в блокчейне. Единственное, что стоит между этими данными и физической угрозой, — это слой псевдонимности. Каждый заказ аппаратного кошелька, каждая форма KYC, каждый адрес доставки, который вы передаёте стороннему вендору, подтачивает этот слой. Взлом SafePal напоминает: безопасность вашей криптовалюты зависит от безопасности каждого вендора, который знает ваше имя.

Защищайте идентификационный слой так же тщательно, как вы защищаете свои ключи.