CoinDesk
SafePal hat am Sonntag eine Sicherheitspanne offengelegt, bei der Namen, physische Anschriften und Kontaktdaten von 39.798 Kunden offengelegt wurden, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben hatten. Das Unternehmen führte das Leck auf einen „Autorisierungsfehler" in einem Plug-in zur Bestellverfolgung zurück, durch den Angreifer durch Manipulation von Bestellnummern die Bestelldatensätze anderer Kunden einsehen konnten. SafePal betonte, dass Private Keys, Seed-Phrasen, Bankpasswörter, Zahlungskartennummern und Ausweisdokumente nicht kompromittiert wurden.
Warum das wichtig ist
Auch wenn On-Chain-Vermögenswerte unangetastet bleiben, liefern die offengelegten PII Angreifern einen sauberen Zielgruppendatensatz für Phishing, Identitätsdiebstahl und Social-Engineering-Versuche gegen betroffene Nutzer. Die eigene Warnung von SafePal ist unmissverständlich: Wer Seed-Phrasen oder Private Keys über eine Phishing-E-Mail, einen Telefonanruf oder einen Brief weitergegeben hat, sollte seine Wallet als kompromittiert betrachten und Guthaben umschichten. Der Vorfall kommt wenige Wochen nach dem gemeldeten Diebstahl einer $120 Millionen schweren Coldcard-Hardware-Wallet, und beide zusammen unterstreichen, dass Wallet-Sicherheit sowohl die Verwahrung als auch die Kundendaten-Schicht darum herum umfasst.
Auswirkungen auf den Markt
Das direkte On-Chain-Risiko ist begrenzt, doch der Phishing-Nachläufer ist das eigentliche Risiko. Erwarten Sie gezielte Identitätsdiebstahl-E-Mails, gefälschte „Wallet Recovery"-Anrufe und geklonte Seiten zur Bestellverifikation, die bis Jahresende auf die 39.798 betroffenen Nutzer abzielen. Achten Sie auf Nachahmungs-Sondierungen der Bestellsysteme anderer Hardware-Wallet-Anbieter sowie auf jegliche Offenlegung, ob das Plug-in zur Bestellverfolgung intern oder von einem Dritten entwickelt wurde. SafePal gibt an, die Schwachstelle gepatcht, einen unabhängigen Prüfer für die Überprüfung des Fixes engagiert, die Aufbewahrungsfrist für Bestelldaten auf 90 Tage gekürzt und mehr als 30 betrügerische Websites im Zusammenhang mit der Panne vom Netz genommen zu haben.
Häufig gestellte Fragen
-
Wurde bei der SafePal-Datenpanne Kryptowährung gestohlen?
Nein. SafePal gibt an, dass Private Keys, Seed-Phrasen, Bankdaten, Zahlungskartennummern und Ausweisdokumente nicht kompromittiert wurden. Das Leck beschränkte sich auf Namen, physische Anschriften und Kontaktdaten aus dem Bestellsystem.
-
Wie haben Angreifer Zugriff auf Bestelldaten anderer Kunden erhalten?
SafePal führte es auf einen „Autorisierungsfehler" in einem Plug-in zur Bestellverfolgung zurück. Angreifer konnten Bestelldatensätze anderer Kunden einfach durch Änderung der Bestellnummern einsehen, da das Plug-in nicht überprüfte, ob der Anfragende der Kunde war, der die Bestellung aufgegeben hatte.
-
Wie kann ich prüfen, ob meine SafePal-Bestelldaten offengelegt wurden?
SafePal hat ein Verifikations-Tool auf seiner Website veröffentlicht, mit dem Kunden prüfen können, ob ihre Daten betroffen sind. Das Unternehmen hat betroffene Nutzer am Sonntag zudem von [email protected] aus per E-Mail angeschrieben.
-
Was sollten betroffene Nutzer als Nächstes tun?
Behandeln Sie jede unaufgeforderte E-Mail, jeden Anruf oder jeden Brief, der nach Seed-Phrasen oder Private Keys fragt, als Phishing und schichten Sie Guthaben auf eine neue Wallet um, falls eine Seed-Phrase jemals an Dritte weitergegeben wurde. SafePal warnte, dass betroffene Nutzer einem erhöhten Risiko von…
-
Bedeutet das, dass Hardware-Wallets unsicher sind?
Nicht direkt. Die Schwachstelle lag im Plug-in zur Bestellverfolgung von SafePal, nicht im Wallet-Code selbst. Zusammen mit dem wenige Wochen zuvor gemeldeten $120-Millionen-Coldcard-Diebstahl unterstreicht es, dass Wallet-Sicherheit sowohl die Verwahrung als auch die Kundendaten-Schicht darum herum umfasst.
CryptoSlate
TheBlock
CoinTelegraph
WuBlockchain