SafePal meldet Fehler im Bestell-Tracking, der Daten von 39.798 Kunden offengelegt hat
Wichtige Erkenntnisse
- •Ein Autorisierungsfehler im Bestell-Tracking-Plug-in von SafePal legte persönliche Daten und Kaufdaten von rund 39.798 Kunden offen, die zwischen dem 2. März 2025 und dem 11. April 2026 bestellt hatten.
- •Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Bank- und Kartendaten sowie staatliche Ausweisnummern wurden nicht offengelegt; SafePal fand keine Hinweise darauf, dass Wallets oder Gelder betroffen waren.
- •SafePal hat den Fehler behoben, die Datenspeicherung auf 90 Tage verkürzt, eine unabhängige Sicherheitsfirma mit der Prüfung beauftragt und die betroffenen Kunden am 16. August individuell informiert.
- •SafePal hat mehr als 30 betrügerische Websites und Phishing-Links entfernt und warnt, dass geleakte Bestelldaten überzeugendere Nachahmungs- und Phishing-Versuche ermöglichen.
- •Die Offenlegung folgt auf einen ShipMonk-Vorfall mit 13.689 betroffenen Trezor-Kunden sowie auf Coldcard-bezogene Diebstähle von bis zu 2.055 BTC und zeigt Risiken für Hardware-Wallet-Nutzer über Händler-Systeme, Fulfillment-Partner und Firmware hinweg.
SafePal, ein von Binance unterstützter Hersteller von Hardware-Wallets, deren Geräte darauf ausgelegt sind, die privaten Schlüssel von Kryptowährungen offline zu halten, hat offengelegt, dass ein Autorisierungsfehler in einem Plug-in zur Bestellverfolgung unbefugten Zugriff auf persönliche Daten und Kaufdaten von rund 39.798 Kunden ermöglichte. Die betroffenen Datensätze betreffen Kunden, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben haben, wie aus dem Sicherheits-Update des Unternehmens hervorgeht.
Zu den offengelegten Informationen gehörten Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails. Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Bankkontoinformationen, Zahlungskartennummern und staatlich ausgestellte Ausweisdaten wurden nicht offengelegt, und SafePal erklärte, es gebe keine Hinweise darauf, dass der Vorfall Zugriff auf Kunden-Wallets oder Gelder ermöglicht habe.
SafePal behebt Autorisierungsfehler
Die Schwachstelle betraf eine Funktion zur Bestellverfolgung, die mit Kunden-Kaufinformationen verknüpft war. Unter bestimmten Bedingungen erlaubte der Autorisierungsfehler einer unbefugten Partei den Zugriff auf den Bestellverlauf eines anderen Kunden.
SafePal behob den Fehler nach dessen Entdeckung und führte zusätzliche Sicherheitskontrollen ein. Das Unternehmen hat zudem die Aufbewahrungsfrist für personenbezogene Daten in der betroffenen Bestellverarbeitungsumgebung auf 90 Tage verkürzt und beauftragt eine unabhängige Sicherheitsfirma, den Fix zu validieren und das weitere System zu prüfen.
Betroffene Kunden erhielten am 16. August individuelle Benachrichtigungen von SafePal. Das Unternehmen hat außerdem seine Logistik- und Fulfillment-Partner kontaktiert, um festzustellen, ob sich die Offenlegung auf deren Systeme ausgeweitet hat; die Ergebnisse der unabhängigen Prüfung und ein möglicher Einfluss auf Partner-Systeme bleiben damit die wesentlichen offenen Punkte der Mitteilung.
Käufer von Hardware-Wallets sind Phishing-Risiken ausgesetzt
Da Hardware-Wallets Schlüssel offline speichern, eröffnet ein solcher Leak von Bestelldaten allein keinen direkten Zugriff auf Kundengelder; das praktische Risiko liegt vor allem in Social-Engineering-Angriffen, die Nutzer dazu bringen sollen, Seed-Phrasen preiszugeben oder selbst schädliche Software zu installieren. Die geleakten Informationen liefern Angreifern genügend kundenspezifische Daten, um überzeugendere Täuschungsversuche zu erstellen. SafePal warnte betroffene Nutzer vor betrügerischen Anrufen, E-Mails, Textnachrichten, physischen Briefen, Rückerstattungsangeboten, gefälschten Firmware-Updates, schädlichen Websites und unerwarteten Hardware-Lieferungen, die sich auf echte Kaufinformationen beziehen.
Die Offenlegung folgt auf einen ShipMonk-Vorfall Anfang dieses Monats, bei dem personenbezogene Daten von 13.689 Trezor-Kunden offengelegt wurden. Bei diesem Vorfall wurden Namen und Kontaktinformationen im Zusammenhang mit Hardware-Wallet-Lieferungen offengelegt, während Trezor-Geräte, private Schlüssel und Wallet-Backups unberührt blieben.
Auch in diesem Sommer war die Sicherheit von Hardware-Wallets mit einer separaten technischen Bedrohung konfrontiert. Mit Coldcard verbundene Bitcoin-Diebstähle könnten 2.055 BTC im Wert von rund 132 Millionen $ erreicht haben, nachdem Angreifer Seeds ins Visier nahmen, die von verwundbaren Firmware-Versionen erzeugt wurden. Galaxy Research identifizierte mindestens 15 separate Angreifer, die diese Schwachstelle ausnutzten.
Mehr als 30 Phishing-Websites entfernt
SafePal hat mehr als 30 betrügerische Websites und Phishing-Links identifiziert und entfernt, die mit Betrugsaktivitäten im Zusammenhang mit der Offenlegung stehen. Die Überwachung auf weitere schädliche Domains wird fortgesetzt, während die unabhängige Sicherheitsprüfung läuft.
Kunden, deren Bestellinformationen offengelegt wurden, müssen ihre Gelder allein wegen des Vorfalls nicht bewegen. Wer bereits eine Seed-Phrase oder einen privaten Schlüssel auf einer verdächtigen Website, in einer Nachricht oder in einer anderen Kommunikation eingegeben hat, sollte diese Wallet stattdessen als kompromittiert betrachten und verbleibende Vermögenswerte auf eine neu erstellte Wallet übertragen.
SafePal verweist betroffene Kunden auf seinen dedizierten Support-Kanal und hat Nutzer angewiesen, jede unerwartete Kommunikation oder Hardware-Lieferung, die sich auf ihre Kaufhistorie bezieht, als verdächtig zu betrachten.
Der Beitrag „SafePal Order-Tracking Flaw Exposes Data Of 39,798 Customers“ erschien zuerst auf Crypto Adventure.
