Beim Hardware Wallet-Anbieter SafePal sind persönliche Daten von fast 40.000 Kunden offengelegt worden. Ursache war ein Autorisierungsfehler im Bestellverfolgungssystem, durch den Unbefugte auf gespeicherte Kundendaten zugreifen konnten. Insgesamt sind nach Angaben des Unternehmens rund 39.798 Personen von dem Vorfall betroffen.
Zu den offengelegten Informationen gehören Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Details zu den jeweiligen Käufen. Betroffen sind Kunden, die vom 2. März 2025 bis zum 11. April 2026 eine Bestellung bei SafePal aufgegeben haben. Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Bankdaten und Kreditkartennummern waren nicht Teil des Datenlecks. Hinweise auf einen direkten Zugriff auf Wallets oder Kundengelder gibt es bislang ebenfalls nicht.
SafePal warnt vor Phishing-Versuchen
Für betroffene Kunden entsteht dennoch ein erhebliches Sicherheitsrisiko. Kriminelle können die persönlichen Informationen verwenden, um sich glaubwürdig als SafePal-Mitarbeiter auszugeben und Nutzer mit vermeintlichen Firmware-Updates, Rückerstattungen oder Ersatzgeräten zu kontaktieren. Ziel solcher Nachrichten oder Anrufe kann es sein, an die Seed-Phrase oder andere Wallet-Zugangsdaten zu gelangen.
Erste Hinweise auf mögliche Probleme gab es bereits Anfang Mai, als SafePal eine Meldung über einen mutmaßlichen Datenabfluss erhielt. Der Fall wurde zunächst als Einzelfall behandelt. Im Juli leitete das Unternehmen schließlich eine umfassendere Untersuchung seiner Auftragsabwicklung ein und konnte dabei die Ursache des Datenlecks identifizieren.
Bereits Anfang Juli berichteten Nutzer öffentlich über verdächtige Kontaktversuche, bei denen die Betrüger persönliche Daten und frühere Bestelldetails kannten. SafePal hat nach eigenen Angaben mittlerweile mehr als 30 betrügerische Webseiten und Phishing-Links identifiziert und entfernen lassen. Ob Kunden durch die Betrugsversuche tatsächlich Kryptowährungen verloren haben, ist bislang nicht bekannt.
Der Vorfall folgt nur wenige Tage auf ein Datenleck beim Versandpartner des Hardware Wallet-Herstellers Trezor, bei dem persönliche Informationen von fast 14.000 Kunden offengelegt wurden. Für SafePal-Nutzer gilt nun besondere Vorsicht bei vermeintlichen Support-Nachrichten: Eine Seed-Phrase oder ein privater Schlüssel sollte niemals auf einer Webseite eingegeben oder an angebliche Mitarbeiter weitergegeben werden.
