SafePal, ein Anbieter von Hardware- und Software-Wallet-Lösungen für Kryptowährungen, der 2018 frühzeitige Unterstützung vom Investmentarm von Binance, Binance Labs, erhalten hat, hat einen Sicherheitsvorfall bestätigt, der auf einer Autorisierungsschwachstelle in einem Plugin zur Bestellverfolgung beruhte. Die Schwachstelle befand sich in einem Plugin, das mit Kundenbestellinformationen verknüpft war, und ermöglichte unter bestimmten Bedingungen einen unbefugten externen Zugriff auf Bestelldatensätze. Betroffen waren rund 39.798 Personen, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben haben. Autorisierungsfehler dieser Art, die unter dem Begriff „Broken Access Control“ zusammengefasst werden, stehen seit der Ausgabe 2021 an der Spitze der OWASP Top 10, der am häufigsten zitierten Rangliste der Sicherheitsrisiken von Webanwendungen.

Laut der Mitteilung des Unternehmens bestehen die offengelegten Daten aus Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails. SafePal betonte, dass sensiblere Datenkategorien von dem Vorfall nicht betroffen waren: Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Zahlungskartennummern, Bankkontodaten und behördlich ausgestellte Ausweisnummern blieben sämtlich sicher. Das Unternehmen erklärte außerdem, dass es keine Hinweise darauf gibt, dass der Vorfall den Zugriff auf SafePal-Wallets oder Kundengelder kompromittiert hat.

Alle betroffenen Personen wurden am 16. August einzeln per E-Mail von der Adresse security@safepal.com informiert, mit einer Betreffzeile, die darauf hinwies, dass ihre Bestellinformationen betroffen waren. SafePal hat zudem eine eigene Verifizierungsseite veröffentlicht, auf der Kunden ihren Status anhand einer Bestellkennnummer und des Versandlands überprüfen können. Eigenständige Verifizierungsseiten dieser Art sind eine Standardmaßnahme gegen Phishing im Rahmen der Reaktion auf Datenlecks, da Benachrichtigungs-E-Mails selbst häufig von Betrügern nachgeahmt werden.

Dear community, While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers. The issue has been fixed with additional security measures…

— SafePal – Crypto Wallet (@SafePal), August 16, 2026

Unternehmensreaktion und empfohlene Vorsichtsmaßnahmen

Nach der Entdeckung hat SafePal die Autorisierungsschwachstelle behoben und ergänzende Sicherheitsmaßnahmen eingeführt. Ein unabhängiges externes Sicherheitsunternehmen wurde beauftragt, die Behebung zu validieren und eine umfassende Überprüfung der gesamten Auftragsabwicklungsinfrastruktur durchzuführen. Das Unternehmen hat zudem relevante Logistik- und Fulfillment-Partner kontaktiert, um zu bestätigen, dass sich das Problem nicht weiter in deren Systemen ausgebreitet hat.

Darüber hinaus wurde die Aufbewahrungsfrist für personenbezogene Daten in der betroffenen Umgebung vorbehaltlich der geltenden rechtlichen Anforderungen auf 90 Tage verkürzt, und ein eigener Support-Kanal wurde eingerichtet, um sicherzustellen, dass betroffene Kunden eine direkte, nachverfolgbare Unterstützung erhalten. SafePal erklärte, dass der Fortschritt dieser laufenden Maßnahmen über offizielle Unternehmenskanäle bekannt gegeben wird. Die 90-Tage-Grenze steht im Einklang mit dem Grundsatz der Speicherbegrenzung, der in Datenschutzregelwerken wie der Datenschutz-Grundverordnung der Europäischen Union verankert ist und verlangt, dass personenbezogene Daten nicht länger als für den jeweiligen Zweck erforderlich aufbewahrt werden. Für Leser, die den Vorfall verfolgen, sind die offenen Punkte die Ergebnisse der unabhängigen Überprüfung sowie etwaige weitere Entfernungen von Phishing-Inhalten – beides werde nach Unternehmensangaben über die offiziellen Kanäle kommuniziert.

Das Unternehmen hat außerdem mehr als 30 betrügerische Websites und Phishing-Links im Zusammenhang mit Betrugsaktivitäten identifiziert und entfernt; neu auftretende Bedrohungen werden weiterhin überwacht.

SafePal wies darauf hin, dass offengelegte Bestelldetails in gezielten Social-Engineering-Kampagnen ausgenutzt werden könnten, darunter betrügerische Rückerstattungsangebote, gefälschte Firmware-Update-Anfragen sowie die Vortäuschung von Kundensupport über Telefonanrufe, E-Mails, SMS, physische Postsendungen oder unerwartete Hardwarelieferungen mit Bezug auf einen SafePal-Kauf.

Kunden wird geraten, bei unverlangt empfangenen Mitteilungen Vorsicht walten zu lassen, keine Links anzuklicken oder QR-Codes in unerwarteten Nachrichten zu scannen und die Adresse der offiziellen Website (safepal.com) manuell einzugeben, statt Weiterleitungen zu folgen. SafePal bekräftigte, dass es unter keinen Umständen über einen Kommunikationskanal Seed-Phrasen, private Schlüssel oder Passwörter anfordert.

Nutzer, die möglicherweise auf verdächtige Kontaktaufnahmen hin Wallet-Zugangsdaten offengelegt haben, sollten das betroffene Wallet als kompromittiert betrachten, ein neues Wallet über ein offizielles SafePal-Gerät oder eine offizielle SafePal-Anwendung erstellen, Vermögenswerte unverzüglich übertragen und das Unternehmen über seinen offiziellen Support-Kanal kontaktieren.

Quelle: Metaverse Post