SafePal, proveedor de billeteras de hardware para criptomonedas, anunció un incidente de filtración de datos que afectó a unos 39.798 clientes que realizaron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026. La empresa afirmó que el fallo fue explotado para acceder sin autorización a la información de los pedidos, mientras que un actor de amenazas afirma actualmente ofrecer los datos robados a la venta en uno de los foros de ciberdelincuencia.
Los datos afectados incluyen los nombres de los clientes, las direcciones de correo electrónico, las direcciones de envío, los números de teléfono y la información de las compras. SafePal confirmó que la investigación no encontró pruebas de que se hubieran expuesto frases de recuperación de billeteras, claves privadas, contraseñas, información de cuentas bancarias, números de tarjetas bancarias, documentos de identidad emitidos por organismos gubernamentales ni otras credenciales.
Un fallo en el seguimiento de pedidos permitió el acceso no autorizado
SafePal descubrió el problema durante una revisión exhaustiva y una reconstrucción de su sistema de procesamiento de pedidos que inició en julio. La empresa concluyó que un fallo de autorización en la función de seguimiento de pedidos de uno de los complementos permitió acceder a la información de pedidos de otros clientes.
A principios de mayo de 2026, la empresa recibió un informe relacionado con el incidente, pero inicialmente lo trató como un caso aislado antes de elevarlo a una investigación de seguridad formal y añadir medidas de protección adicionales. Debido a la interconexión de los componentes del sistema de comercio electrónico, las integraciones externas y los socios logísticos, SafePal afirmó que no pudo descartar de inmediato varias explicaciones posibles.
Durante la investigación, la empresa también descubrió un error de configuración independiente que impidió que el proceso de limpieza de datos funcionara correctamente entre septiembre de 2025 y abril de 2026, lo que provocó que se conservaran datos de pedidos que se remontaban a marzo de 2025. Afirmó que corrigió el fallo e implementó medidas de seguridad adicionales, y que trabaja con una empresa de seguridad externa para verificar la solución y revisar más ampliamente los sistemas de procesamiento de pedidos.
¿Qué cambia en la práctica para los clientes?
El 16 de agosto, SafePal envió un correo electrónico a todos los clientes afectados con un asunto que incluía una alerta sobre la afectación de la información de los pedidos. También lanzó una herramienta de verificación en línea que permite al cliente introducir el número de pedido y el país de envío para saber si los datos de ese pedido forman parte de la información robada.
La empresa advierte que los datos podrían utilizarse en mensajes de phishing y llamadas dirigidas relacionadas con actualizaciones del firmware, devoluciones de productos, reembolsos o investigaciones legales. Desde mayo, clientes han informado de mensajes y llamadas de phishing, incluido un mensaje que afirmaba haber detectado una vulnerabilidad en una billetera SafePal X1 y solicitaba instalar una actualización del firmware. La empresa afirmó que eliminó más de 30 sitios web y enlaces fraudulentos relacionados con el incidente.
¿Es necesario transferir los activos o sustituir la billetera?
SafePal afirma que los clientes cuya información de pedidos haya quedado expuesta no necesitan sustituir sus dispositivos ni transferir sus criptomonedas debido únicamente a esta filtración. Sin embargo, recomienda que, si un cliente compartió la frase de recuperación o la clave privada en respuesta a un mensaje de phishing, considere que la billetera está comprometida y transfiera los activos a una billetera nueva utilizando un dispositivo SafePal de confianza o la aplicación oficial.
La empresa afirma que eliminó los datos personales de los pedidos afectados de los servidores activos de comercio electrónico, conservando una copia cifrada fuera de línea para su posible uso en investigaciones de las fuerzas del orden. BleepingComputer no verificó de forma independiente que el atacante posea los datos ni que la oferta de venta sea auténtica, aunque los detalles del periodo de pedidos y el número de clientes mencionados en el anuncio coinciden con lo anunciado por SafePal.