Fast 40.000 Kunden des Krypto-Wallet-Herstellers SafePal müssen ihre Posteingänge nun etwas genauer im Auge behalten. Das Unternehmen gab am 16. August bekannt, dass ein Fehler in seinem Bestellverfolgungssystem persönliche Informationen offengelegt hat, die mit rund 39.798 Kundenkonten verknüpft sind – eine der bedeutenderen Offenlegungen einer SafePal-Datenpanne, die die Hardware-Wallet-Branche in diesem Jahr getroffen haben. Die gute Nachricht ist laut SafePal, dass die Panne niemals die Zugangsdaten berührt hat, die tatsächlich Krypto-Gelder schützen.
Summary
Wichtigste Erkenntnisse
- Ein Autorisierungsfehler im Bestellverfolgungs-Plugin von SafePal legte personenbezogene Daten von etwa 39.798 Kunden offen, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben hatten.
- Offengelegte Informationen umfassen Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails – jedoch keine Seed-Phrasen, privaten Schlüssel, Wallet-Passwörter, Zahlungskartennummern, Bankdaten oder amtlichen Ausweisdokumente.
- SafePal erklärt, es gebe keine Hinweise darauf, dass Kunden-Wallets oder Gelder durch die Panne selbst direkt kompromittiert wurden.
- Das Unternehmen hat mehr als 30 mit dem Vorfall verbundene Phishing-Websites entfernt und die Aufbewahrung personenbezogener Daten auf 90 Tage reduziert.
- SafePal beauftragt ein unabhängiges externes Sicherheitsunternehmen mit der Prüfung der Korrektur, im Anschluss an ähnliche jüngste Datenexpositionen bei Trezor und Ledger.
Was die SafePal-Datenpanne ausgelöst hat
Die eigentliche Ursache war ein Autorisierungsfehler in einem Plugin, das SafePal zur Verfolgung von Kundenbestellungen einsetzte. Unter bestimmten Bedingungen erlaubte dieser Fehler einem Kunden, die Bestellinformationen eines anderen Kunden einzusehen, indem er einfach eine Bestellnummer manipulierte – ähnlich wie eine Sendungsverfolgungsseite, die einem Fremden versehentlich erlaubt, den Beleg einer anderen Person aufzurufen.
SafePal hat nicht genau angegeben, wann der verwundbare Code eingeführt wurde oder wie viele externe Parteien möglicherweise auf die offengelegten Datensätze zugegriffen haben, bevor der Fehler entdeckt und behoben wurde.
Umfang und Art der offengelegten Daten
Die offengelegten Datensätze betreffen Bestellungen, die zwischen dem 2. März 2025 und dem 11. April 2026 aufgegeben wurden, so der Vorfallsbericht von SafePal sowie Berichte von The Block und CoinDesk. Die Daten umfassten Kundennamen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails – genug persönliche Details, um zukünftige Betrugsversuche überzeugend wirken zu lassen.
Wallet-Sicherheit blieb intakt
SafePal war ausdrücklich darin, was die Panne nicht berührt hat. Das Unternehmen erklärte, dass unter den kompromittierten Daten Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Zahlungskartennummern, Bankkontoinformationen und staatlich ausgestellte Identifikationsnummern niemals offengelegt wurden. SafePal fügte hinzu, dass es keine Hinweise darauf gefunden habe, dass die Panne selbst den Zugriff auf SafePal-Wallets oder Kundengelder kompromittiert habe – ein Unterschied, der angesichts der voraussichtlichen Wahrnehmung des Vorfalls von Bedeutung ist.
Phishing-Risiko für SafePal-Kunden steigt
Die eigentliche Gefahr für betroffene Nutzer sind nicht gestohlene Kryptos, sondern glaubwürdige Identitätsanmaßung. Da Angreifer echte Namen, Adressen und Bestellhistorien kombinieren können, können darauf basierende Phishing-Versuche deutlich glaubwürdiger wirken als eine generische Betrugs-E-Mail. SafePal warnte Nutzer, dass Betrüger sich als Mitarbeiter ausgeben könnten, indem sie angebliche Firmware-Updates, Rückerstattungen oder den Austausch von Hardware-Wallets anbieten, um Opfer gezielt dazu zu bringen, Wallet-Zugangsdaten preiszugeben.
Diese Warnung war nicht hypothetisch. Öffentliche Beschwerden mit korrekten persönlichen Details tauchten bereits am 3. und 4. Juli auf Reddit und Trustpilot auf – Wochen vor der öffentlichen Bekanntgabe durch SafePal – und beschrieben Betrugsanrufe von Personen, die den Namen, die Adresse, Telefonnummer, E-Mail-Adresse und frühere Bestelldetails des Kunden bereits kannten und die Opfer auf eine betrügerische Website lotsten, die sich als SafePal-Support ausgab. SafePal erklärte, man habe einen früheren Bericht Anfang Mai untersucht, ihn zunächst jedoch als Einzelfall behandelt und erst im Juli eine vollständige Überprüfung und den Neuaufbau der Bestellabwicklung eingeleitet, als der Autorisierungsfehler als eigentliche Ursache bestätigt wurde.
Abschaltung von Phishing-Seiten und Kundenwarnungen
SafePal erklärt, es habe mehr als 30 mit dem Vorfall verbundene betrügerische Websites und Phishing-Links identifiziert und entfernt und überwache weiterhin neue Domains, die versuchen, die geleakten Daten auszunutzen. Betroffene Kunden wurden individuell per E-Mail vom Sicherheitsteam von SafePal benachrichtigt, und das Unternehmen startete ein Verifizierungstool, mit dem Nutzer durch Eingabe ihrer Bestellnummer und ihres Lieferlandes prüfen können, ob ihre Bestellung betroffen war.
Was betroffene Nutzer tun sollten
Die Empfehlung von SafePal ist eindeutig: Jeder, der bereits eine Seed-Phrase oder einen privaten Schlüssel auf einer verdächtigen Website eingegeben hat – sei es nach Aufforderung per E-Mail, Telefonanruf oder Post – sollte dieses Wallet als kompromittiert betrachten, ein neues Wallet erzeugen und verbleibende Gelder umgehend übertragen.
Reaktion von SafePal: Änderungen bei der Datenspeicherung und unabhängiges Audit
Über die Behebung des unmittelbaren Fehlers hinaus überarbeitet SafePal, wie lange Bestelldaten von Kunden gespeichert werden. Das Unternehmen erklärt, es reduziere die Aufbewahrung personenbezogener Daten in der betroffenen Umgebung auf nur 90 Tage ab dem Zeitpunkt der Erhebung – eine Änderung, die den Pool historischer Daten verkleinern soll, der bei künftigen Vorfällen offengelegt werden könnte. Diese Entscheidung spiegelt auch ein separates Problem wider: Ein Konfigurationsfehler führte dazu, dass ein routinemäßiger Datenbereinigungsprozess im Zeitraum von September 2025 bis April 2026 fehlerhaft funktionierte, sodass ältere Datensätze deutlich länger im System verblieben als vorgesehen, auch wenn SafePal erklärt, dass dieser Ausfall selbst nicht die unbefugten Zugriffe verursacht habe.
SafePal beauftragt außerdem ein unabhängiges externes Sicherheitsunternehmen, um die Lösung zu verifizieren und eine umfassende Sicherheitsbewertung seiner Bestellabwicklungssysteme durchzuführen – ein Schritt, der Kunden versichern soll, dass das zugrunde liegende Autorisierungsproblem tatsächlich behoben und nicht nur oberflächlich geflickt wurde.
Ein sich abzeichnendes Muster bei Hardware-Wallet-Anbietern
Die Offenlegung von SafePal erfolgt nur wenige Tage nach einem ähnlichen Vorfall beim konkurrierenden Hardware-Wallet-Hersteller Trezor, dessen Versandpartner ShipMonk persönliche Daten von fast 14.000 Kunden offengelegt hat. Anfang dieses Jahres informierte Ledger seine Kunden über eine vergleichbare Exposition, die auf Global-e zurückgeführt wurde, den Drittanbieter für E-Commerce, der einige Käufe über die Ledger-Website abwickelt. In all diesen Fällen – SafePal, Trezor und Ledger – erklärten die beteiligten Unternehmen, dass Wallets und private Schlüssel durchgehend sicher geblieben seien.
In der Gesamtschau deutet das Muster auf eine wiederkehrende Schwachstelle in der Hardware-Wallet-Branche hin: Es ist nicht die Kryptografie zum Schutz privater Schlüssel, die versagt, sondern die umgebende Handels- und Logistikinfrastruktur – Bestellverfolgungs-Plugins, Versandpartner, externe Zahlungsabwickler –, die weiterhin Kundennamen und -adressen in die Hände von Betrügern gelangen lässt. Für eine Branche, die auf dem Versprechen von Sicherheit durch Selbstverwahrung aufbaut, bietet dieser Unterschied einem Kunden, der einen überzeugenden Anruf von jemandem erhält, der genau weiß, was er bestellt hat und wohin es geliefert wurde, möglicherweise nur wenig Trost.
FAQ
Was hat die SafePal-Datenpanne verursacht?
Ein Autorisierungsfehler im Bestellverfolgungs-Plugin von SafePal ermöglichte unbefugten Zugriff auf Kundenbestellinformationen.
Welche Arten von Kundendaten wurden bei der Panne offengelegt?
Offengelegte Daten umfassten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails.
Wurden Wallet-Zugangsdaten wie Seed-Phrasen oder private Schlüssel kompromittiert?
Nein, SafePal bestätigte, dass Seed-Phrasen, private Schlüssel und Wallet-Passwörter nicht offengelegt wurden und es keine Hinweise darauf gibt, dass Wallets oder Gelder kompromittiert wurden.
Welche Maßnahmen ergreift SafePal zum Schutz betroffener Kunden?
SafePal hat mehr als 30 Phishing-Websites entfernt, die Datenspeicherung auf 90 Tage reduziert, betroffene Kunden benachrichtigt und ein unabhängiges Sicherheitsunternehmen mit der Prüfung der Korrektur beauftragt.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was hat die SafePal-Datenpanne verursacht?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Ein Autorisierungsfehler im Bestellverfolgungs-Plugin von SafePal ermöglichte unbefugten Zugriff auf Kundenbestellinformationen.“}},{„@type“:“Question“,“name“:“Welche Arten von Kundendaten wurden bei der Panne offengelegt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Offengelegte Daten umfassten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails.“}},{„@type“:“Question“,“name“:“Wurden Wallet-Zugangsdaten wie Seed-Phrasen oder private Schlu00fcssel kompromittiert?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein, SafePal bestu00e4tigte, dass Seed-Phrasen, private Schlu00fcssel und Wallet-Passwu00f6rter nicht offengelegt wurden und es keine Hinweise darauf gibt, dass Wallets oder Gelder kompromittiert wurden.“}},{„@type“:“Question“,“name“:“Welche Mau00dfnahmen ergreift SafePal zum Schutz betroffener Kunden?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“SafePal hat mehr als 30 Phishing-Websites entfernt, die Datenspeicherung auf 90 Tage reduziert, betroffene Kunden benachrichtigt und ein unabhu00e4ngiges Sicherheitsunternehmen mit der Pru00fcfung der Korrektur beauftragt.“}}]}
Artikel mit Unterstützung von künstlicher Intelligenz erstellt und von der Redaktion überprüft.
