SafePal hat offengelegt, dass eine Sicherheitslücke in einem Plug-in zur Auftragverfolgung Angreifern Zugriff auf personenbezogene Daten von rund 39.798 Kunden verschafft hat – darunter Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails.

Die Kombination aus offengelegten Wohnadressen und Nachweisen von Kryptobesitz erhöht das Risiko gezielter physischer Angriffe, während sogenannte Wrench-Attacken zunehmen: Chainalysis dokumentierte für das erste Halbjahr 2026 46 gewalttätige Vorfälle mit mehr als 30 Millionen US-Dollar an erbeutetem Krypto – das Jahr ist damit auf Kurs zu einem Rekordwert.

SafePal reiht sich in eine wachsende Liste von Wallet-Unternehmen ein, die von Datenlecks betroffen sind. Die Panne beim Versanddienstleister ShipMonk, von der Trezor kürzlich betroffen war, legte Daten von rund 13.700 Kunden offen; Ledgers Leak aus dem Jahr 2020 mit Daten von etwa 272.000 Kunden führte zu Erpressungsdrohungen.

Der Bitcoin- und Krypto-Wallet-Hersteller SafePal erklärte am Samstag, dass eine Sicherheitslücke in einem Plug-in zur Auftragverfolgung Angreifern unbefugten Zugriff auf die persönlichen Informationen von rund 39.798 Kunden verschafft habe – die jüngste Datenschutzverletzung, die Nutzer eines Hardware-Wallet-Anbieters dem Risiko gezielter physischer Übergriffe aussetzt.

In einer auf X veröffentlichten Erklärung teilte SafePal mit, dass die offengelegten Daten Kunden betreffen, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben haben – ein Zeitraum von mehr als 13 Monaten –, und dass sie Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails umfassen.

Das Unternehmen erklärte, die Wallet-Zugangsdaten seien nicht betroffen gewesen; Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Bankdaten, Kreditkartennummern und behördliche Ausweisdokumente seien nicht einbezogen gewesen. Da die Wallets von SafePal nicht verwahrend (non-custodial) sind, verwahren die Nutzer und nicht das Unternehmen die privaten Schlüssel und die Guthaben; Kundendaten dieser Art liegen üblicherweise in Systemen zur Auftragsabwicklung und nicht im Wallet-Produkt selbst. SafePal, eine nicht verwahrende Wallet-Suite, die von Binance und Animoca Brands unterstützt wird und nach eigenen Angaben 30 Millionen Nutzer bedient, erklärte, das Problem behoben, betroffene Kunden per E-Mail informiert und eine Seite eingerichtet zu haben, auf der Nutzer prüfen können, ob ihre Daten betroffen sind.

Beware of phishing attempts! 👇 Disclosure: SafePal is a YZiLabs portfolio company (minority investor). — CZ 🔶 BNB (@cz_binance) August 16, 2026

Obwohl keine Guthaben direkt gestohlen wurden, ist die Kombination aus Namen, Wohnadressen und Nachweisen von Kryptobesitz genau die Art von Daten, die Kriminellen helfen kann, vermögende Besitzer zu identifizieren. Diese Sorge ist im Zuge des Anstiegs sogenannter Wrench-Attacken gewachsen, bei denen Opfer so lange bedroht oder körperlich angegriffen werden, bis sie ihr Krypto herausgeben.

Chainalysis dokumentierte 46 gewalttätige Vorfälle im ersten Halbjahr 2026 mit mehr als 30 Millionen US-Dollar an erbeutetem Krypto und erklärte, das Jahr sei auf dem Weg zum schlechtesten der Aufzeichnungsgeschichte, wobei Einbrüche in Wohnhäuser zunehmend an die Stelle von Entführungen treten.

SafePal reiht sich damit in eine breitere Gruppe von Wallet-Firmen ein, deren Kunden durch Lecks offengelegt wurden. Nur wenige Tage zuvor hatte Trezor mitgeteilt, dass eine Panne beim Versandpartner ShipMonk Daten von rund 13.700 Kunden kompromittiert hat. Das markanteste Beispiel bleibt Ledger, dessen Leak aus dem Jahr 2020 mit Details von etwa 272.000 Kunden eine Welle von Phishing und für manche Erpressungsdrohungen auslöste, in denen Gewalt angedroht wurde.

Der Zeitpunkt fällt in eine angespannte Phase für Nutzer von Selbstverwahrung, die sich noch mit der Coldcard-Attacke auseinandersetzen müssen: Über eine Schwachstelle in der Firmware-Entropie waren lange inaktive Bitcoin abgezogen worden, was die Verluste der gesamten Branche auf fast 130 Millionen US-Dollar getrieben hat.

SafePal entschuldigte sich bei seiner Community und kündigte an, weitere Updates in seinem Blog zu veröffentlichen, solange die Untersuchung andauert.