四天内，SafePal、Trezor 和以色列加密经纪商 Bits of Gold 先后披露数据泄露，合计影响 253,487 名用户。三起事件都未涉及私钥、助记词或资金被盗，但姓名、电话、住址和购买记录外泄，令加密持有者面临更高的线下安全风险。

两起事件指向同一漏洞

Trezor 与 Bits of Gold 的事件都与 Metabase 的严重漏洞 CVE-2026-72898 有关。该漏洞为未授权 SQL 注入，评分达 CVSS 10.0，攻击者可借此获取管理员权限，并读取关联数据库中的内容。

Trezor 表示，其物流合作方 ShipMonk 使用的自托管 Metabase 实例遭到利用。受影响的是 5 月 10 日至 8 月 8 日期间收货的 13,689 名客户，其中 11,742 人的姓名、邮箱、电话和收货地址被完整暴露。

Bits of Gold 在 8 月 16 日披露，第三方客户支持与数据分析系统遭未授权访问，公司确认同样涉及上述漏洞。约 20 万名用户的信息可能被访问，包括姓名、以色列身份证号码、邮箱、电话、IP 地址、银行账户信息以及公开钱包地址。

SafePal 来自另一缺陷

SafePal 的事件并不涉及 Metabase。公司称，攻击源于一个插件漏洞，导致 39,798 条客户记录外泄，涉及姓名、邮箱、电话、收货地址和购买详情。

SafePal 表示，未发现助记词、私钥、钱包密码、银行信息或政府身份证件信息被访问。公司已修补漏洞，将数据保留期限缩短至 90 天，并清理了 30 多个与事件相关的钓鱼网站。

住址信息外泄带来线下风险

文章援引 CertiK 数据称，2026 年上半年已确认 52 起针对加密持有者的线下暴力攻击，较 2025 年同期增加 33%。相关财务风险敞口达到 1.241 亿美元，较上年同期放大逾 11 倍。

其中，入室抢劫增长最明显，从 2025 年上半年的 1 起升至 2026 年上半年的 20 起；绑架案件则从 12 起升至 16 起。法国占已确认案件的 33 起，是目前最集中的国家。

文章提到，攻击者最需要的并不是私钥，而是“确认某人持有加密资产”与“可验证住址”这两类信息。此次连续三起泄露再次表明，即使资金未被直接盗走，身份与地址数据外流本身也可能转化为现实世界的安全威胁。