SafePal revela una fuga de datos: casi 40,000 usuarios de billeteras de hardware están en riesgo
El 16 de agosto, el equipo de SafePal, conocido fabricante de carteras de criptomonedas de hardware, confirmó oficialmente la filtración de datos personales. El incidente afectó a aproximadamente 39 798 usuarios, cuyos nombres, direcciones de envío, números de teléfono, correos electrónicos y detalles de pedidos cayeron en manos de terceros. Esta es una señal grave para todo el sector, dada la sensibilidad de la audiencia de la industria cripto.
Es importante destacar: la filtración no afectó a activos críticos. Las frases semilla, claves privadas, contraseñas e información financiera (datos bancarios, números de tarjetas) no fueron comprometidos, ya que SafePal no almacena estos datos en sus servidores. El equipo del proyecto afirma que no ha encontrado rastros de acceso no autorizado a los fondos o carteras de los usuarios.
Sin embargo, el principal peligro reside en el vector de ataques posteriores. Los atacantes, al tener los datos de contacto, pueden lanzar campañas de phishing dirigidas: llamadas en nombre del soporte, ofertas falsas de reembolso, solicitudes para actualizar el firmware o enlaces a sitios web falsos. SafePal ya está monitoreando estos recursos e iniciando su bloqueo.
Detalles técnicos del incidente
La raíz del problema es un error de autorización en el complemento de seguimiento de pedidos, integrado con la base de clientes. El complemento manejaba incorrectamente los permisos de acceso, lo que permitía a terceros ver los pedidos de otros usuarios. Para el momento de la publicación del comunicado, la vulnerabilidad fue corregida y las medidas de protección reforzadas.
La filtración afectó a clientes que realizaron compras entre el 2 de marzo de 2025 y el 11 de abril de 2026. No se revelan los plazos exactos de explotación de la vulnerabilidad ni el momento de su detección. Actualmente, SafePal está llevando a cabo una investigación junto con una empresa de seguridad independiente y prepara una auditoría completa del sistema de procesamiento de pedidos.
Como medidas preventivas, la empresa redujo el período de almacenamiento de datos en el sistema vulnerable a 90 días y notificó a los socios logísticos, solicitando una revisión de sus sistemas para detectar posibles infecciones. Cabe destacar que este es el segundo caso similar en una semana: anteriormente, el 13 de agosto, Trezor enfrentó una filtración de datos de casi 14 000 clientes, cuyo socio logístico ShipMonk fue hackeado.
Mi análisis: Esta situación resalta un problema sistémico en la industria de las carteras de hardware: la seguridad del dispositivo no garantiza la seguridad de toda la cadena de suministro y el servicio al cliente. Los usuarios deben ser extremadamente cautelosos: cualquier mensaje que haga referencia a su pedido o que solicite acciones en nombre de SafePal debe verificarse a través de canales oficiales. Recomiendo encarecidamente activar la autenticación de dos factores donde sea posible e ignorar cualquier solicitud de "actualización de firmware" a través de enlaces en correos electrónicos o SMS.