coindesk.com
Proveedor de billeteras de hardware para criptomonedas SafePal ha revelado un incidente de seguridad que expuso la información personal de miles de clientes.
Los datos expuestos incluían nombres, direcciones físicas y detalles de contacto, lo que puso en riesgo a los usuarios afectados frente a intentos de phishing y suplantación de identidad. Sin embargo, la brecha no comprometió fondos de criptomonedas, contraseñas ni claves privadas de billeteras.
SafePal es una empresa de seguridad en criptomonedas que ofrece carteras físicas de hardware y aplicaciones de software diseñadas para ayudar a los inversionistas a almacenar y gestionar de forma segura sus activos digitales.
El último exploit sigue a un reciente hackeo de Carteras de hardware Coldcard, en el que el atacante supuestamente robó al menos 120 millones de dólares en bitcoin. Si bien los incidentes no indican necesariamente una debilidad sistémica en las carteras de hardware, demuestran que ninguna solución de almacenamiento cripto está completamente libre de riesgos. También validan las llamadas a evaluar el riesgo de concentración y, cuando sea apropiado, a diversificar tanto las tenencias de criptomonedas como las carteras utilizadas para almacenarlas.
¿Qué ocurrió?
SafePal declaró el domingo que identificó una “falla de autorización” en un complemento utilizado para rastrear los pedidos de los clientes. Es probable que esta falla haya permitido a los atacantes ver los pedidos de otros clientes. Piénselo como el sistema de seguimiento de paquetes de una tienda que permitiría a un cliente ver el recibo y los detalles de entrega de otro cliente simplemente cambiando el número de pedido.
La brecha ha afectado a 39,798 clientes que realizaron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026.
SafePal enfatizó que la seguridad central de sus billeteras permanece intacta, agregando que las frases semilla de los usuarios, claves privadas, contraseñas bancarias, información de cuentas bancarias, números de tarjetas de pago y documentos de identificación emitidos por el gobierno no se vieron afectados.
Sin embargo, SafePal afirmó que los usuarios que hayan compartido sus claves privadas o frases semilla a través de un correo electrónico de phishing, llamada telefónica o carta, deben considerar que su billetera ha sido comprometida y transferir sus activos a una nueva billetera.
Cómo está respondiendo SafePal
La empresa informó que había corregido la vulnerabilidad e implementado medidas de seguridad adicionales en respuesta. SafePal notificó a todos los clientes afectados por correo electrónico desde security@safepal.com el domingo y contrató a una firma de seguridad independiente externa para auditar la solución y revisar sus sistemas de procesamiento de órdenes.
SafePal también señaló que conservaría los datos personales de los clientes en su sistema de procesamiento de pedidos durante solo 90 días a partir de la fecha de recopilación. Además, la empresa identificó y eliminó más de 30 sitios web fraudulentos y enlaces de phishing asociados con la violación.