Fuga de datos en SafePal: información personal de casi 40,000 usuarios en riesgo
El 16 de agosto, el fabricante de carteras de hardware criptográficas SafePal confirmó oficialmente una filtración de datos que afectó a aproximadamente 39,798 usuarios. Como resultado del incidente, nombres de clientes, direcciones de envío, números de teléfono, correos electrónicos y detalles de pedidos cayeron en manos de terceros. Esta es una señal seria para todo el mercado, dada la creciente actividad de esquemas de phishing en la industria criptográfica.
Es importante destacar: la filtración no afectó datos críticamente sensibles. Las frases semilla, claves privadas, contraseñas, datos bancarios y detalles de tarjetas no fueron comprometidos, ya que SafePal no almacena esta información en sus servidores. El equipo del proyecto tampoco encontró rastros de acceso no autorizado a carteras o fondos de usuarios. Sin embargo, el riesgo para los clientes sigue siendo alto.
Los atacantes, al obtener datos personales, pueden usarlos para ataques dirigidos: llamar o escribir en nombre del servicio de soporte, ofrecer reembolsos falsos, exigir actualizar el firmware o redirigir a sitios de phishing. SafePal ya está monitoreando recursos falsos y trabajando activamente para bloquearlos, pero los usuarios deben mostrar una mayor vigilancia.
Causa del incidente y reacción del equipo
La raíz del problema es un error de autorización en el complemento de seguimiento de pedidos, que tenía acceso a los datos de los clientes. El complemento procesaba incorrectamente las solicitudes, lo que permitía a personas externas ver pedidos de otros usuarios. Al momento de publicar la declaración, los desarrolladores ya habían corregido la vulnerabilidad y reforzado las medidas de protección.
El incidente afectó a clientes que realizaron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026. No se revelan los plazos exactos en que los atacantes explotaron la vulnerabilidad ni cuándo el equipo detectó el problema. Actualmente, SafePal está llevando a cabo una investigación junto con una empresa de seguridad independiente y planea una auditoría completa del sistema de procesamiento de pedidos.
De acuerdo con los requisitos legales, la compañía redujo el período de retención de datos en este sistema a 90 días y notificó a los socios logísticos, solicitando una revisión de sus sistemas para detectar posibles impactos. Cabe destacar que este es el segundo caso similar en una semana: el 13 de agosto, se detectó un problema similar en Trezor, donde casi 14,000 clientes se vieron afectados debido a la violación del socio logístico ShipMonk.
Mi comentario: Este incidente es otro recordatorio de que incluso las carteras de hardware más confiables son vulnerables a nivel de infraestructura asociada. Los usuarios deben tener cuidado con cualquier mensaje entrante, especialmente con ofertas de "actualización urgente" o "reembolso de fondos", y siempre verificar manualmente las direcciones de los sitios web.