SafePal, ein Anbieter von Hardware-Wallets für Kryptowährungen, gab einen Datenleckvorfall bekannt, der rund 39.798 Kunden betraf, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben hatten. Nach Angaben des Unternehmens wurde eine Schwachstelle ausgenutzt, um unbefugten Zugriff auf Bestellinformationen zu erlangen, während ein Bedrohungsakteur derzeit behauptet, die gestohlenen Daten in einem Forum für Cyberkriminalität zum Verkauf anzubieten.
Zu den betroffenen Daten gehören die Namen der Kunden, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufinformationen. SafePal bestätigte, dass die Untersuchung keine Hinweise auf die Offenlegung von Wallet-Wiederherstellungsphrasen, privaten Schlüsseln, Passwörtern, Bankkontoinformationen, Bankkartennummern, amtlichen Identitätsdokumenten oder anderen Zugangsdaten ergab.
Fehler bei der Bestellverfolgung führte zu unbefugtem Zugriff
SafePal entdeckte das Problem während einer umfassenden Überprüfung und Rekonstruktion seines Bestellverarbeitungssystems, die das Unternehmen im Juli begonnen hatte. Das Unternehmen kam zu dem Schluss, dass ein Autorisierungsfehler in der Bestellverfolgungsfunktion eines Plugins den Zugriff auf Bestellinformationen anderer Kunden ermöglichte.
Anfang Mai 2026 hatte das Unternehmen eine Meldung erhalten, die mit dem Vorfall übereinstimmte. Zunächst behandelte es diese jedoch als Einzelfall, bevor es sie zu einer formellen Sicherheitsuntersuchung eskalierte und weitere Schutzmaßnahmen hinzufügte. Aufgrund der Verflechtung der Komponenten des E-Commerce-Systems, externer Integrationen und Logistikdienstleister erklärte SafePal, das Unternehmen habe mehrere mögliche Erklärungen nicht sofort ausschließen können.
Während der Untersuchung entdeckte das Unternehmen außerdem einen separaten Konfigurationsfehler, der dazu führte, dass ein Datenbereinigungsprozess zwischen September 2025 und April 2026 nicht ordnungsgemäß funktionierte. Dadurch wurden Bestelldaten zurückgehalten, die bis in den März 2025 zurückreichten. Nach eigenen Angaben behob SafePal den Fehler, setzte zusätzliche Sicherheitsmaßnahmen um und arbeitet mit einem externen Sicherheitsunternehmen zusammen, um die Behebung zu überprüfen und die Bestellverarbeitungssysteme umfassender zu prüfen.
Was ändert sich praktisch für die Kunden?
SafePal schickte am 16. August allen betroffenen Kunden eine E-Mail mit einem Betreff, der darauf hinwies, dass ihre Bestellinformationen betroffen waren. Außerdem startete das Unternehmen ein Online-Prüftool, in das Kunden ihre Bestellnummer und ihr Lieferland eingeben können, um festzustellen, ob die Daten dieser Bestellung zu den gestohlenen Informationen gehören.
Das Unternehmen warnt davor, dass die Daten für Phishing-Nachrichten und gezielte Anrufe im Zusammenhang mit Firmware-Updates, Produktrückgaben, Rückerstattungen oder rechtlichen Ermittlungen verwendet werden könnten. Kunden berichteten seit Mai von Phishing-Nachrichten und -Anrufen, darunter eine Nachricht, in der behauptet wurde, eine Schwachstelle in der SafePal X1-Wallet entdeckt zu haben, und die zur Installation eines Firmware-Updates aufforderte. Das Unternehmen erklärte, es habe mehr als 30 mit dem Vorfall verbundene betrügerische Websites und Links entfernt.
Müssen die Vermögenswerte übertragen oder die Wallet ersetzt werden?
SafePal erklärt, dass Kunden, deren Bestellinformationen offengelegt wurden, ihre Geräte aufgrund dieses Datenlecks allein nicht ersetzen oder ihre Kryptowährungen übertragen müssen. Wenn ein Kunde jedoch als Reaktion auf eine Phishing-Nachricht seine Wiederherstellungsphrase oder seinen privaten Schlüssel weitergegeben hat, empfiehlt das Unternehmen, die Wallet als kompromittiert zu betrachten und die Vermögenswerte mithilfe eines vertrauenswürdigen SafePal-Geräts oder der offiziellen App auf eine neue Wallet zu übertragen.
Nach Angaben des Unternehmens hat SafePal die personenbezogenen Daten der betroffenen Bestellungen von den aktiven E-Commerce-Servern gelöscht und eine verschlüsselte Offline-Kopie aufbewahrt, die möglicherweise für Ermittlungen von Strafverfolgungsbehörden verwendet wird. BleepingComputer konnte nicht unabhängig überprüfen, ob der Angreifer die Daten tatsächlich besitzt oder ob das Verkaufsangebot echt ist, obwohl die im Angebot genannten Bestellzeiträume und Kundenzahlen mit den von SafePal veröffentlichten Angaben übereinstimmen.