SafePal, un produttore di hardware wallet sostenuto da Binance i cui dispositivi sono progettati per mantenere offline le chiavi private delle criptovalute, ha rivelato che una falla di autorizzazione in un plug-in utilizzato per il tracciamento degli ordini ha permesso l'accesso non autorizzato alle informazioni personali e di acquisto di circa 39.798 clienti. I record interessati riguardano i clienti che hanno effettuato ordini tra il 2 marzo 2025 e l'11 aprile 2026, secondo l'aggiornamento sulla sicurezza pubblicato dall'azienda.

Le informazioni esposte includevano nomi, indirizzi email, indirizzi di spedizione, numeri di telefono e dettagli degli acquisti. Le frasi seed, le chiavi private, le password del wallet, le informazioni sui conti bancari, i numeri delle carte di pagamento e i numeri di identificazione rilasciati dal governo non sono state esposte, e SafePal ha dichiarato di non aver trovato prove che la violazione abbia fornito accesso ai wallet o ai fondi dei clienti.

SafePal corregge la falla di autorizzazione

La vulnerabilità interessava una funzione di tracciamento degli ordini collegata alle informazioni di acquisto dei clienti. In determinate condizioni, il difetto di autorizzazione consentiva a una parte non autorizzata di accedere al record dell'ordine di un altro cliente.

SafePal ha corretto la falla dopo averla scoperta e ha introdotto controlli di sicurezza aggiuntivi. L'azienda ha inoltre ridotto a 90 giorni il periodo di conservazione delle informazioni personali nell'ambiente di elaborazione degli ordini interessato e sta coinvolgendo una società di sicurezza indipendente per convalidare la correzione ed esaminare il sistema più ampio.

I clienti interessati hanno ricevuto notifiche individuali da SafePal il 16 agosto. L'azienda ha inoltre contattato i propri partner logistici e di fulfilment per determinare se l'esposizione si sia estesa ai loro sistemi, lasciando i risultati della revisione indipendente ed eventuali impatti sui partner come principali questioni aperte della divulgazione.

Gli acquirenti di hardware wallet affrontano un rischio di phishing

Poiché gli hardware wallet conservano le chiavi offline, una fuga di dati sugli ordini come questa non costituisce di per sé una via d'accesso ai fondi dei clienti; il rischio concreto riguarda l'ingegneria sociale volta a persuadere gli utenti a rivelare le frasi seed o a installare autonomamente software dannoso. Le informazioni trapelate offrono agli aggressori dati sufficienti sui clienti per costruire tentativi di impersonificazione più credibili. SafePal ha messo in guardia gli utenti interessati da chiamate fraudolente, email, messaggi di testo, lettere cartacee, offerte di rimborso, falsi aggiornamenti firmware, siti web dannosi e consegne di hardware inattese che fanno riferimento a informazioni di acquisto reali.

La divulgazione segue una violazione di ShipMonk all'inizio di questo mese che ha esposto dati personali appartenenti a 13.689 clienti Trezor. Tale violazione ha esposto nomi e informazioni di contatto legate alle consegne di hardware wallet, lasciando però intatti i dispositivi Trezor, le chiavi private e i backup del wallet.

La sicurezza degli hardware wallet ha inoltre affrontato quest'estate una minaccia tecnica separata. I furti di Bitcoin legati a Coldcard potrebbero aver raggiunto i 2.055 BTC, per un valore di circa 132 milioni di dollari, dopo che aggressori hanno preso di mira seed generati da versioni vulnerabili del firmware. Galaxy Research ha identificato almeno 15 aggressori distinti che sfruttavano la debolezza.

Nel complesso, gli incidenti recenti indicano rischi su più fronti per gli utenti di hardware wallet — sistemi di ordini dei fornitori, partner di fulfilment e firmware dei dispositivi — anziché un singolo punto di guasto.

Oltre 30 siti di phishing rimossi

SafePal ha identificato e rimosso più di 30 siti web fraudolenti e link di phishing associati all'attività di truffa legata all'esposizione dei dati. Il monitoraggio di ulteriori domini dannosi continua mentre procede la revisione di sicurezza indipendente.

I clienti le cui informazioni sugli ordini sono state esposte non devono trasferire fondi esclusivamente a causa della violazione. Chi ha già inserito una frase seed o una chiave privata in un sito web sospetto, in un messaggio o in un'altra comunicazione dovrebbe invece considerare quel wallet compromesso e trasferire gli asset rimanenti in un wallet appena generato.

SafePal sta indirizzando i clienti interessati al proprio canale di assistenza dedicato e ha invitato gli utenti a considerare sospetta qualsiasi comunicazione o consegna di hardware inattesa che faccia riferimento alla loro cronologia di acquisti.