SafePal meldet Datenleck bei 39.798 Kunden nach Autorisierungsfehler

Durch einen Autorisierungsfehler in einem Order-Plugin wurden Namen, Adressen und Kontaktdaten von fast 40.000 SafePal-Kunden offengelegt; Wallets und Private Keys blieben verschont.

Wichtigste Erkenntnisse

• SafePal meldete ein Datenleck, bei dem persönliche Daten von 39.798 Kunden durch einen Autorisierungsfehler in einem Order-Plugin offengelegt wurden.
• Namen, Adressen und Kontaktdaten waren betroffen, aber Krypto-Assets, Passwörter, Private Keys und Seed Phrases blieben verschont.
• SafePal hat die Schwachstelle gepatcht, Kunden informiert und zusätzliche Maßnahmen gegen Phishing und betrügerische Websites ergriffen.

SafePal hat einen Sicherheitsvorfall gemeldet, bei dem persönliche Daten von 39.798 Kunden offengelegt wurden. Dem Kryptounternehmen zufolge ging es um Namen, physische Adressen und Kontaktdaten, während Krypto-Assets, Passwörter und private Wallet-Keys nicht betroffen waren.

Was genau schiefgelaufen ist

Der Vorfall entstand durch einen Autorisierungsfehler in einem Plugin, das Kundenbestellungen verfolgt. Dadurch konnten Angreifer möglicherweise Bestellungen anderer Kunden einsehen, indem sie Bestellnummern änderten. SafePal sagte, dass das Leck Kunden betrifft, die zwischen dem 2. März 2025 und dem 11. April 2026 eine Bestellung aufgegeben haben.

Die Meldung ist relevant, weil Hardware Wallets oft als eine der sichereren Möglichkeiten gelten, Krypto zu speichern, aber auch dort bleiben operative Systeme eine Schwachstelle. SafePal betonte, dass die Kernabsicherung der Wallets intakt geblieben ist und dass Seed Phrases, Private Keys, Bankdaten, Zahlungskartennummern und Ausweisdokumente nicht betroffen sind.

Risiko durch Phishing

Für betroffene Nutzer liegt das größte Risiko jetzt vor allem in Phishing und Impersonation. Mit Namen, Adressen und Kontaktdaten können Betrüger überzeugender so tun, als kämen sie von SafePal oder einer anderen Partei. SafePal warnte außerdem, dass Nutzer, die ihre Private Keys oder Seed Phrases jemals per Phishing-Mail, Telefonanruf oder Brief geteilt haben, ihre Wallet als kompromittiert betrachten sollten.

Das Unternehmen sagt, die Schwachstelle gepatcht und zusätzliche Sicherheitsmaßnahmen eingeführt zu haben. Außerdem hat SafePal alle betroffenen Kunden per E-Mail informiert, eine unabhängige Sicherheitsfirma mit der Prüfung des Fixes und der Auftragsverarbeitung beauftragt und mehr als 30 betrügerische Websites und Phishing-Links entfernt.

Warum das für Nutzer zählt

Für europäische Krypto-Nutzer zeigt dieser Vorfall, dass die größten Risiken nicht immer in der Wallet selbst liegen, sondern auch in den Systemen darum herum. SafePal verfügt nach den vorliegenden Informationen über ein S1-Modell mit Air-Gap-Technologie und einem Secure-Element-Chip, doch das ändert nichts daran, dass Bestelldaten und Kundenkommunikation dennoch zum Ziel werden können. Das macht eine saubere Trennung zwischen der Aufbewahrung von Krypto und dem Teilen persönlicher Informationen besonders relevant.

SafePal sagt außerdem, dass es Kundendaten im Auftragsverarbeitungssystem künftig nur noch 90 Tage speichert. Das Unternehmen bietet auch ein Verifizierungstool an, mit dem Kunden prüfen können, ob ihre Daten betroffen sind.