ด่วน! SafePal ยอมรับข้อมูลลูกค้ารั่วเกือบ 4 หมื่นราย — รู้ตั้งแต่พฤษภา เพิ่งบอกสิงหา

SafePal ผู้ผลิตกระเป๋าฮาร์ดแวร์คริปโตที่มี Binance หนุนหลัง ออกมายอมรับเมื่อวันที่ 16 สิงหาคม 2026 ว่าข้อมูลส่วนตัวของลูกค้า 39,798 ราย รั่วไหลออกไป จากช่องโหว่ในปลั๊กอินระบบติดตามพัสดุ ข่าวร้ายคือชื่อ ที่อยู่ เบอร์โทร และประวัติการสั่งซื้อหลุดหมด ข่าวดีคือ seed phrase กับ private key ไม่ได้หลุดไปด้วย แต่ประเด็นที่ชาวคริปโตกำลังจับตาคือ SafePal ได้รับรายงานเค้าลางตั้งแต่ต้นเดือนพฤษภาคม แต่เพิ่งประกาศต่อสาธารณะเมื่อวานนี้

📑 สารบัญ

เกิดอะไรขึ้นกับ SafePal
ข้อมูลอะไรหลุด อะไรไม่หลุด
ไทม์ไลน์ที่ทำให้คนตั้งคำถาม
ความเสี่ยงจริงคือฟิชชิ่ง ไม่ใช่เหรียญหาย
ไม่ใช่เจ้าแรก — Ledger กับ Trezor ก็โดนมาแล้ว
สิ่งที่ต้องทำถ้าเคยสั่งซื้อ SafePal
สรุป

เกิดอะไรขึ้นกับ SafePal

SafePal ประกาศผ่านอีเมลถึงลูกค้าที่ได้รับผลกระทบทุกรายเมื่อวันที่ 16 สิงหาคม 2026 ว่าบริษัทพบช่องโหว่ด้านการตรวจสอบสิทธิ์ (authorization flaw) ในปลั๊กอินที่ใช้สำหรับติดตามสถานะคำสั่งซื้อบนเว็บไซต์ร้านค้าออนไลน์ของบริษัท

ช่องโหว่นี้ทำให้ลูกค้าคนหนึ่งสามารถเปิดดูข้อมูลคำสั่งซื้อของลูกค้าอีกคนได้ โดยไม่ต้องผ่านการยืนยันตัวตนใดๆ พูดง่ายๆ คือระบบไม่ได้เช็คว่า “คนที่กำลังขอดูออเดอร์นี้ เป็นเจ้าของออเดอร์จริงหรือเปล่า” ผู้ไม่หวังดีจึงไล่ดึงข้อมูลออกไปได้เป็นจำนวนมาก

📌 จำนวนผู้ได้รับผลกระทบคือ 39,798 ราย ครอบคลุมคนที่สั่งซื้อสินค้าระหว่างวันที่ 2 มีนาคม 2025 ถึง 11 เมษายน 2026 รวมช่วงเวลากว่า 13 เดือน

สำคัญที่ต้องเข้าใจ — นี่ไม่ใช่การเจาะตัวกระเป๋าฮาร์ดแวร์ ไม่ใช่การเจาะเฟิร์มแวร์ และไม่ใช่ช่องโหว่ในแอป SafePal แต่เป็นช่องโหว่ฝั่ง ระบบร้านค้าออนไลน์ ที่เก็บข้อมูลการจัดส่งสินค้า ซึ่งเป็นคนละส่วนกับตัวผลิตภัณฑ์

ข้อมูลอะไรหลุด อะไรไม่หลุด

เส้นแบ่งตรงนี้สำคัญมาก เพราะจะเป็นตัวกำหนดว่าคุณต้องกังวลระดับไหน

ประเภทข้อมูล	สถานะ	ผลกระทบ
ชื่อ-นามสกุล	🔴 หลุด	ใช้ปลอมตัวติดต่อได้
ที่อยู่จัดส่ง	🔴 หลุด	เสี่ยงถูกตามตัวถึงบ้าน
อีเมล	🔴 หลุด	เป้าหมายฟิชชิ่ง
เบอร์โทรศัพท์	🔴 หลุด	เสี่ยงโดนหลอกทางโทรศัพท์
ประวัติการสั่งซื้อ	🔴 หลุด	รู้ว่าคุณมีรุ่นไหน ถือคริปโตอยู่
Seed phrase	🟢 ปลอดภัย	ไม่เคยถูกเก็บบนเซิร์ฟเวอร์
Private key	🟢 ปลอดภัย	อยู่ในตัวเครื่องเท่านั้น
รหัสผ่านกระเป๋า	🟢 ปลอดภัย	ไม่ได้อยู่ในระบบร้านค้า
ข้อมูลบัญชีธนาคาร / บัตร	🟢 ปลอดภัย	ไม่ได้เก็บไว้
เลขบัตรประชาชน / พาสปอร์ต	🟢 ปลอดภัย	ไม่ได้เก็บไว้

SafePal ระบุชัดในแถลงการณ์ว่า “seed phrase, private key, รหัสผ่านกระเป๋า หรือข้อมูลรับรองอื่นของกระเป๋า” ไม่ได้อยู่ในชุดข้อมูลที่รั่ว และ “ไม่พบหลักฐานว่าเหตุการณ์นี้ทำให้มีการเข้าถึงกระเป๋าหรือเงินของผู้ใช้ SafePal ได้”

💡 อย่าเพิ่งโล่งใจเกินไป — ข้อมูลที่หลุดคือ “ชุดเครื่องมือ” ชั้นดีสำหรับมิจฉาชีพ เพราะมันบอกทั้งว่าคุณเป็นใคร อยู่ที่ไหน ติดต่อยังไง และที่แสบที่สุดคือบอกว่าคุณมีคริปโต

ไทม์ไลน์ที่ทำให้คนตั้งคำถาม

สิ่งที่ทำให้ชุมชนคริปโตไม่พอใจไม่ใช่ตัวช่องโหว่ แต่เป็นระยะเวลาที่ห่างกันระหว่าง “รู้” กับ “บอก”

🚩 1. ต้นเดือนพฤษภาคม 2026 — รายงานแรกเข้ามา

SafePal ได้รับรายงานที่สอดคล้องกับเหตุการณ์ข้อมูลรั่วเป็นครั้งแรก แต่บริษัทประเมินในตอนนั้นว่าเป็นเหตุการณ์เดี่ยวๆ ไม่ได้เชื่อมโยงเป็นปัญหาระบบ

🚩 2. ต้นเดือนกรกฎาคม 2026 — ผู้ใช้เริ่มโวยบนโซเชียล

มีผู้ใช้หลายรายรายงานว่าถูกฟิชชิ่งตั้งแต่วันที่ 3-4 กรกฎาคม โดยมิจฉาชีพแอบอ้างเป็น SafePal และหลอกให้เข้าเว็บปลอมอย่าง “safepal.support” ซึ่งเกิดขึ้นก่อนที่บริษัทจะประกาศอย่างเป็นทางการกว่าเดือนครึ่ง

🚩 3. กรกฎาคม 2026 — เริ่มรื้อระบบเงียบๆ

บริษัทเริ่มตรวจสอบและสร้างระบบประมวลผลคำสั่งซื้อขึ้นใหม่ แสดงว่ารู้ตัวแล้วว่ามีปัญหาจริง แต่ยังไม่แจ้งลูกค้า

🚩 4. 16 สิงหาคม 2026 — ประกาศต่อสาธารณะ

ห่างจากรายงานแรกประมาณ 3 เดือนครึ่ง ลูกค้าที่ได้รับผลกระทบจึงได้รับอีเมลแจ้งเตือน

ช่องว่างสามเดือนครึ่งนี้คือช่วงที่ลูกค้าไม่รู้ตัวว่าข้อมูลตัวเองอยู่ในมือคนอื่นแล้ว จึงไม่ได้ตั้งการ์ดรับมือฟิชชิ่ง ซึ่งอธิบายได้ว่าทำไมถึงมีคนโดนหลอกตั้งแต่เดือนกรกฎาคม

ความเสี่ยงจริงคือฟิชชิ่ง ไม่ใช่เหรียญหาย

SafePal เองก็เตือนตรงๆ ว่าผู้โจมตีมีแนวโน้มจะใช้ข้อมูลชุดนี้ไล่ติดต่อลูกค้าโดยแอบอ้างเป็นพนักงานบริษัท

💀 อ้างว่ามีเฟิร์มแวร์อัปเดตด่วน

ส่งลิงก์ให้โหลด “อัปเดตความปลอดภัย” แล้วหลอกให้กรอก seed phrase ระหว่างขั้นตอน

💀 อ้างว่าจะคืนเงิน / เปลี่ยนเครื่องให้ฟรี

อ้างเหตุข้อมูลรั่วนี่แหละเป็นข้ออ้าง แล้วขอ “ยืนยันตัวตน” ด้วยคำ 12-24 คำ

⚠️ เว็บปลอมหน้าตาเหมือนเป๊ะ

SafePal บอกว่าได้ไล่ปิดเว็บปลอมและลิงก์ฟิชชิ่งไปแล้วกว่า 30 แห่ง และยังเฝ้าระวังอยู่

แต่ความเสี่ยงที่หนักกว่านั้นและพูดถึงกันน้อยคือ ที่อยู่บ้านหลุด เมื่อข้อมูลบอกว่าคนชื่อนี้ อยู่บ้านเลขที่นี้ และเพิ่งซื้อกระเป๋าฮาร์ดแวร์คริปโต มันกลายเป็นรายชื่อเป้าหมายสำหรับอาชญากรรมในโลกจริงทันที

💡 วงการคริปโตเรียกการโจมตีแบบบุกถึงตัวเพื่อบังคับให้โอนเหรียญว่า “wrench attack” ซึ่งในปี 2026 มีรายงานเพิ่มขึ้นทั่วโลก ข้อมูลที่อยู่ของคนถือคริปโตจึงมีมูลค่าสูงมากในตลาดมืด

ไม่ใช่เจ้าแรก — Ledger กับ Trezor ก็โดนมาแล้ว

เหตุการณ์นี้ไม่ใช่กรณีโดดๆ แต่เป็นรูปแบบเดิมที่วนซ้ำในอุตสาหกรรมกระเป๋าฮาร์ดแวร์ — ตัวอุปกรณ์ปลอดภัย แต่ระบบขายของและระบบขนส่งที่อยู่รอบๆ กลับเป็นจุดอ่อน

บริษัท	ช่วงเวลา	จุดที่รั่ว	ผู้ได้รับผลกระทบ
Ledger	มกราคม 2026	Global-e (ผู้ประมวลผลการชำระเงิน)	ไม่ระบุตัวเลขชัด
Trezor	สิงหาคม 2026	ShipMonk (บริษัทขนส่ง)	13,689 ราย
SafePal	สิงหาคม 2026	ปลั๊กอินติดตามพัสดุของตัวเอง	39,798 ราย

ข้อแตกต่างที่น่าสนใจคือ Ledger กับ Trezor โดนผ่านคู่ค้าภายนอก แต่ SafePal รั่วจากระบบของตัวเอง ซึ่งควบคุมได้โดยตรง จึงเป็นความรับผิดชอบที่ตรงตัวกว่า

📌 บทเรียนร่วมของทั้งสามกรณี — การซื้อกระเป๋าฮาร์ดแวร์ต้องแลกกับการมอบชื่อ ที่อยู่ และเบอร์โทรให้บริษัท ยิ่งบริษัทเก็บข้อมูลไว้นาน ความเสี่ยงยิ่งสะสม SafePal จึงประกาศลดระยะเวลาเก็บข้อมูลส่วนบุคคลเหลือเพียง 90 วัน

สิ่งที่ต้องทำถ้าเคยสั่งซื้อ SafePal

✅ เช็คก่อนว่าตัวเองโดนไหม:

SafePal เปิดหน้าตรวจสอบให้กรอกหมายเลขคำสั่งซื้อ (Order ID) และประเทศที่จัดส่ง
อีเมลแจ้งเตือนอย่างเป็นทางการส่งจาก [email protected] เท่านั้น
ถ้าสั่งซื้อระหว่าง 2 มี.ค. 2025 ถึง 11 เม.ย. 2026 ให้ถือว่าเสี่ยงไว้ก่อน

ห้ามกรอก seed phrase ที่ไหนทั้งสิ้น

ไม่มีบริษัทกระเป๋าฮาร์ดแวร์เจ้าไหนบนโลกที่จะขอ seed phrase จากคุณ ไม่ว่าเหตุผลอะไร ถ้ามีคนขอ นั่นคือมิจฉาชีพ 100%

อย่ากดลิงก์ในอีเมลหรือ SMS

พิมพ์ที่อยู่เว็บทางการเองทุกครั้ง อย่าค้นหาผ่าน Google เพราะโฆษณาปลอมติดอันดับบนได้

ปฏิเสธ “เฟิร์มแวร์ด่วน” ทุกกรณี

อัปเดตเฟิร์มแวร์ผ่านแอปทางการเท่านั้น ไม่โหลดไฟล์จากลิงก์ที่ใครส่งมา

ระวังสายโทรเข้าที่รู้ข้อมูลคุณดีเกินไป

คนโทรมาบอกชื่อ ที่อยู่ และรุ่นเครื่องได้ถูกต้อง ไม่ได้แปลว่าเป็นตัวจริง เพราะข้อมูลชุดนี้หลุดไปแล้ว

พิจารณาย้ายเงินถ้าเคยกรอกอะไรไปแล้ว

ถ้าเผลอกรอก seed phrase ให้เว็บปลอมไปแล้ว ต้องสร้างกระเป๋าใหม่และโอนย้ายทันที ไม่มีทางแก้อื่น

อย่าคุยเรื่องคริปโตกับคนแปลกหน้าที่บ้าน

ที่อยู่หลุดแล้ว ให้เพิ่มความระวังทางกายภาพด้วย ไม่เปิดเผยว่าถือคริปโตกับใครโดยไม่จำเป็น

ตรวจสอบสถานะตัวเองผ่านหน้า lookup ของ SafePal แล้วหรือยัง
เปลี่ยนรหัสผ่านอีเมลที่ใช้สั่งซื้อแล้วหรือยัง
เปิด 2FA แบบแอป (ไม่ใช่ SMS) บนบัญชีที่เกี่ยวข้องแล้วหรือยัง
บันทึกไว้ในใจว่า SafePal จะไม่มีวันขอ seed phrase

สรุป

ข้อมูลลูกค้า 39,798 รายรั่ว

ชื่อ ที่อยู่ อีเมล เบอร์โทร ประวัติสั่งซื้อ ของคนที่ซื้อระหว่าง มี.ค. 2025 ถึง เม.ย. 2026

เงินและ seed phrase ปลอดภัย

ช่องโหว่อยู่ที่ปลั๊กอินระบบร้านค้า ไม่ใช่ตัวกระเป๋าฮาร์ดแวร์หรือแอป

รู้ตั้งแต่พฤษภา ประกาศสิงหา

ช่องว่างสามเดือนครึ่งทำให้ลูกค้าโดนฟิชชิ่งไปแล้วตั้งแต่เดือนกรกฎาคม

ภัยจริงคือฟิชชิ่งและที่อยู่หลุด

มิจฉาชีพจะแอบอ้างเป็น SafePal หลอกขอ seed phrase และรายชื่อคนถือคริปโตพร้อมที่อยู่คือของมีค่าในตลาดมืด

เป็นปัญหาเชิงอุตสาหกรรม

Ledger, Trezor และ SafePal โดนแบบเดียวกันในปีเดียว จุดอ่อนไม่ใช่ตัวเครื่อง แต่คือระบบขายและขนส่งรอบๆ

⚠️ คำเตือน: บทความนี้เป็นความรู้เพื่อการศึกษา ไม่ใช่คำแนะนำในการลงทุน (NFA) การลงทุนในคริปโตมีความเสี่ยงสูง ควรศึกษาข้อมูลเพิ่มเติมและลงทุนเฉพาะเงินที่พร้อมจะเสีย