coindesk.com
Anbieter von Krypto-Hardware-Wallets SafePal hat bekannt gegeben ein Sicherheitsvorfall, bei dem die persönlichen Daten von Tausenden von Kunden offengelegt wurden.
Die offengelegten Daten umfassten Namen, physische Adressen und Kontaktdaten, wodurch betroffene Nutzer einem Risiko von Phishing- und Identitätsdiebstahlangriffen ausgesetzt sind. Allerdings wurden bei der Sicherheitsverletzung keine Kryptowährungsbestände, Passwörter oder privaten Wallet-Schlüssel kompromittiert.
SafePal ist ein Unternehmen im Bereich Kryptowährungssicherheit, das physische Hardware-Wallets und Softwareanwendungen anbietet, die Anlegern dabei helfen, ihre digitalen Vermögenswerte sicher zu speichern und zu verwalten.
Die jüngste Sicherheitslücke folgt auf einen kürzlichen Hackerangriff auf Coldcard Hardware-Wallets, bei dem der Angreifer Berichten zufolge mindestens 120 Millionen US-Dollar in Bitcoin gestohlen hat. Während die Vorfälle nicht unbedingt auf eine systemische Schwäche bei Hardware-Wallets hinweisen, zeigen sie, dass keine Kryptospeicherlösung völlig risikofrei ist. Sie bestätigen auch die Forderungen, das Konzentrationsrisiko zu bewerten und gegebenenfalls sowohl die Krypto-Bestände als auch die verwendeten Wallets zu diversifizieren.
Was ist passiert?
SafePal teilte am Sonntag mit, dass ein „Autorisierungsfehler“ in einem Plug-in zur Verfolgung von Kundenbestellungen identifiziert wurde. Dieser Fehler ermöglichte es Angreifern vermutlich, die Bestellungen anderer Kunden einzusehen. Man kann sich das vorstellen wie ein Paketverfolgungssystem eines Geschäfts, das einem Kunden erlaubt, durch einfache Änderung der Bestellnummer die Quittung und Lieferdetails eines anderen Kunden einzusehen.
Die Sicherheitsverletzung hat 39.798 Kunden betroffen, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben haben.
SafePal betonte, dass die Kernsicherheit seiner Wallets intakt bleibt, und fügte hinzu, dass die Seed-Phrasen der Nutzer, privaten Schlüssel, Bankpasswörter, Bankkontoinformationen, Zahlungskartennummern und amtlichen Ausweise nicht betroffen sind.
SafePal erklärte jedoch, dass Nutzer, die ihre privaten Schlüssel oder Seed-Phrasen über eine Phishing-E-Mail, einen Anruf oder einen Brief weitergegeben haben, davon ausgehen sollten, dass ihr Wallet kompromittiert wurde, und ihre Vermögenswerte auf ein neues Wallet übertragen sollten.
Wie SafePal reagiert
Das Unternehmen teilte mit, dass die Sicherheitslücke behoben und zusätzliche Sicherheitsmaßnahmen eingeführt wurden. SafePal informierte alle betroffenen Kunden per E-Mail ab security@safepal.com am Sonntag und beauftragte ein unabhängiges Drittanbieter-Sicherheitsunternehmen, die Behebung zu prüfen und seine Auftragsbearbeitungssysteme zu überprüfen.
SafePal gab außerdem bekannt, dass es die persönlichen Daten der Kunden in seinem Auftragsverarbeitungssystem nur für 90 Tage ab dem Erfassungsdatum speichern werde. Darüber hinaus hat das Unternehmen mehr als 30 betrügerische Websites und Phishing-Links im Zusammenhang mit der Sicherheitsverletzung identifiziert und entfernt.
Kunden können ein Verifizierungstool auf der Website von SafePal nutzen, um zu überprüfen, ob ihre Daten betroffen sind, teilte das Unternehmen mit.