SafePal ha rivelato che una falla in un plug-in di tracciamento degli ordini ha consentito agli aggressori di accedere ai dati personali, tra cui nomi, indirizzi email, indirizzi di spedizione, numeri di telefono e dettagli degli acquisti, di circa 39.798 clienti.

La combinazione esposta di indirizzi residenziali e prove di detenzione di criptovalute accresce il rischio di presa di mira fisica mentre aumentano gli attacchi con la chiave inglese (wrench attack), con Chainalysis che ha documentato 46 incidenti violenti e oltre 30 milioni di dollari rubati nel primo semestre del 2026, un ritmo che proietta l'anno verso un record.

SafePal si aggiunge alla lista crescente di aziende di wallet colpite da fughe di dati. La recente violazione tramite ShipMonk subita da Trezor ha esposto i dati di circa 13.700 clienti, mentre la fuga di dati del 2020 di Ledger, riguardante circa 272.000 clienti, aveva portato a minacce di estorsione.

SafePal, azienda produttrice di wallet Bitcoin e criptovalute, ha dichiarato sabato che una falla in un plug-in di tracciamento degli ordini ha consentito agli aggressori un accesso non autorizzato alle informazioni personali di circa 39.798 clienti, l'ultima violazione che espone gli utenti di un'azienda di wallet hardware al rischio di presa di mira fisica.

In una dichiarazione pubblicata su X, SafePal ha indicato che i dati esposti riguardano i clienti che hanno effettuato ordini tra il 2 marzo 2025 e l'11 aprile 2026 — un arco temporale di oltre 13 mesi — e includono nomi, indirizzi email, indirizzi di spedizione, numeri di telefono e dettagli degli acquisti.

L'azienda ha precisato che le credenziali del wallet non sono state interessate, aggiungendo che frasi seed, chiavi private, password del wallet, dati bancari, numeri di carte di pagamento e documenti d'identità non sono stati coinvolti. Poiché i wallet di SafePal sono non-custodial, sono gli utenti, e non l'azienda, a detenere le proprie chiavi private e i propri fondi; i registri dei clienti di questo tipo si trovano in genere nei sistemi di evasione degli ordini anziché nel prodotto wallet stesso. SafePal, una suite di wallet non-custodial supportata da Binance e Animoca Brands che dichiara di servire 30 milioni di utenti, ha comunicato di aver risolto il problema, di aver avvisato via email i clienti interessati e di aver creato una pagina per consentire agli utenti di verificare se sono stati esposti.

Beware of phishing attempts! 👇 Disclosure: SafePal is a YZiLabs portfolio company (minority investor). — CZ 🔶 BNB (@cz_binance) August 16, 2026

Sebbene nessun fondo sia stato direttamente rubato, la combinazione di nomi, indirizzi residenziali e prove di detenzione di criptovalute è esattamente il tipo di dati che può aiutare i criminali a identificare detentori con un patrimonio elevato. Questa preoccupazione si è accentuata insieme all'aumento dei cosiddetti attacchi con la chiave inglese, in cui le vittime vengono minacciate o aggredite finché non consegnano le proprie criptovalute.

Chainalysis ha documentato 46 incidenti violenti nel primo semestre del 2026, con oltre 30 milioni di dollari rubati, e ha affermato che l'anno è in corsa per risultare il peggiore mai registrato, con le irruzioni in casa che stanno superando sempre più spesso i rapimenti.

SafePal si inserisce ora in un gruppo più ampio di aziende di wallet i cui clienti sono stati esposti tramite fughe di dati. Pochi giorni prima, Trezor aveva comunicato che una violazione presso il partner di spedizione ShipMonk aveva compromesso i dati di circa 13.700 clienti. L'esempio più emblematico rimane Ledger, la cui fuga di dati del 2020, relativa ai dettagli di circa 272.000 clienti, aveva innescato un'ondata di phishing e, per alcuni, minacce di estorsione che richiamavano la violenza.

La tempistica si inserisce in un periodo teso per gli utenti di autocustodia, ancora alle prese con l'exploit di Coldcard che ha prosciugato Bitcoin rimasti a lungo inattivi tramite una falla di entropia nel firmware e ha spinto le perdite a livello di settore verso i 130 milioni di dollari.

SafePal si è scusata con la propria community e ha dichiarato che pubblicherà aggiornamenti sul proprio blog mentre proseguono le indagini.