SafePal signale une fuite de données chez 39 798 clients après une erreur d’autorisation

En raison d’une erreur d’autorisation dans un plug-in de commandes, les noms, adresses et coordonnées de près de 40 000 clients SafePal ont été exposés ; les wallets et les private keys sont restés hors de portée.

À retenir

• SafePal a signalé une fuite de données ayant exposé les informations personnelles de 39 798 clients à cause d’une erreur d’autorisation dans un plug-in de commandes.
• Les noms, adresses et coordonnées ont été touchés, mais les crypto-actifs, les mots de passe, les private keys et les seed phrases sont restés hors de portée.
• SafePal a corrigé la vulnérabilité, informé ses clients et pris des mesures supplémentaires contre le phishing et les sites frauduleux.

SafePal a signalé un incident de sécurité au cours duquel les données personnelles de 39 798 clients ont été exposées. Selon l’entreprise crypto, il s’agissait de noms, d’adresses physiques et de coordonnées, tandis que les crypto-actifs, les mots de passe et les private wallet keys n’ont pas été touchés.

Ce qui s’est exactement passé

L’incident est né d’une erreur d’autorisation dans un plug-in qui suit les commandes des clients. Des attaquants auraient ainsi pu consulter les commandes d’autres clients en modifiant les numéros de commande. SafePal a indiqué que la faille touche les clients ayant passé une commande entre le 2 mars 2025 et le 11 avril 2026.

Cette annonce est importante, car les wallets hardware sont souvent considérés comme l’une des façons les plus sûres de stocker de la crypto, mais les systèmes opérationnels restent eux aussi un point faible. SafePal a souligné que la sécurité de base des wallets est restée intacte et que les seed phrases, les private keys, les coordonnées bancaires, les numéros de carte de paiement et les documents d’identité n’ont pas été affectés.

Risque de phishing

Pour les utilisateurs concernés, le principal risque réside désormais surtout dans le phishing et l’usurpation d’identité. Avec des noms, des adresses et des coordonnées, des acteurs malveillants peuvent se faire passer de manière plus convaincante pour SafePal ou pour une autre partie. SafePal a en outre averti que les utilisateurs ayant déjà साझा partagé leurs private keys ou leurs seed phrases via un e-mail de phishing, un appel téléphonique ou une lettre doivent considérer leur wallet comme compromis.

L’entreprise affirme avoir corrigé la vulnérabilité et mis en place des mesures de sécurité supplémentaires. SafePal a également informé par e-mail tous les clients concernés, fait appel à une société de sécurité indépendante pour vérifier le correctif et le traitement des commandes, et supprimé plus de 30 sites frauduleux et liens de phishing.

Pourquoi cela compte pour les utilisateurs

Pour les utilisateurs européens de crypto, cet incident montre que les plus grands risques ne se trouvent pas toujours dans le wallet lui-même, mais aussi dans les systèmes qui l’entourent. SafePal dispose, selon les informations disponibles, d’un modèle S1 avec technologie air-gap et d’une puce secure element, mais cela n’empêche pas les données de commande et les communications clients d’être malgré tout ciblées. Cela rend d’autant plus importante une bonne séparation entre le stockage de la crypto et le partage d’informations personnelles.

SafePal indique par ailleurs qu’il ne conservera désormais les données clients dans le système de traitement des commandes que pendant 90 jours. L’entreprise propose aussi un outil de vérification permettant aux clients de contrôler si leurs données ont été touchées.