SafePal legt persönliche Daten von rund 39.798 Kunden offen

Der Hardware-Wallet-Anbieter SafePal gab am Sonntag bekannt, dass eine Schwachstelle in der Zugriffskontrolle seines Systems zur Bestellverfolgung die persönlichen Daten von rund 39.798 Kunden offengelegt habe. Zu den durchgesickerten Informationen gehören Kundennamen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails zu Bestellungen, die zwischen dem 2. März 2025 und dem 11. April 2026 aufgegeben wurden.

SafePal betonte, dass weder Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Bankkontodaten, Zahlungskartennummern noch von Behörden ausgestellte Ausweisdokumente kompromittiert wurden und keine Hinweise auf einen unbefugten Zugriff auf SafePal-Wallets oder Guthaben vorliegen.

Warum das wichtig ist

Dies ist der dritte Vorfall mit Kundendaten in der Wallet-Branche innerhalb weniger Monate, und alle drei Vorfälle liefen über Handels- oder Versandinfrastrukturen statt über die Wallets selbst. Die Offenlegung durch SafePal erfolgte wenige Tage, nachdem The Block berichtet hatte, dass ein Datenleck bei ShipMonk fast 14.000 Datensätze von Trezor-Kunden offengelegt hatte. Ledger meldete im Januar eine ähnliche Datenpanne über seinen Handelsdienstleister Global-e. Das Muster deutet auf eine strukturelle Schwachstelle in der Bestellinfrastruktur von Drittanbietern hin, auf die alle Anbieter von Hardware-Wallets angewiesen sind, und nicht auf das kryptografische Design der Wallets selbst.

Auswirkungen auf den Markt

Kunden müssen in den kommenden Tagen mit einem erhöhten Phishing-Risiko rechnen. SafePal warnte, Angreifer könnten sich als Mitarbeiter ausgeben, gefälschte Firmware-Updates, Rückerstattungen oder Ersatzgeräte anbieten und anschließend versuchen, Seed-Phrasen abzugreifen. Das Unternehmen hat bereits mehr als 30 betrügerische Websites im Zusammenhang mit dem Betrug abgeschaltet. Öffentliche Beschwerden auf Trustpilot und Reddit von Anfang Juli berichten, dass Betrüger Nutzer bereits mit vollständigen Kaufdaten kontaktierten, Wochen vor der Bekanntgabe am Sonntag. Anleger, die den SFP-Token von SafePal beobachten, werden den Reputationsschaden gegen die Tatsache abwägen, dass die auf den Geräten verwahrten Guthaben nie angetastet wurden. SafePal hat nicht offengelegt, wann die Schwachstelle in der Zugriffskontrolle entstanden ist oder wie viele Angreifer auf die Datensätze zugegriffen haben.