- SafePal hat einen Autorisierungsfehler aufgedeckt, der Bestelldaten von fast 40.000 Kunden offenlegte.
- Die Schwachstelle betraf Kunden, die zwischen März 2025 und April 2026 Bestellungen aufgegeben hatten.
- Durchgesickerte Kaufdetails können gezielte Phishing- und Imitationsversuche unterstützen.
Die Sicherheit von Hardware-Wallets geriet unter die Lupe, nachdem SafePal bekannt gab, dass ein Autorisierungsfehler in einem Auftragsverfolgungs-Plugin unbefugten Zugriff auf Bestellinformationen der Kunden ermöglichte. Der Vorfall betraf etwa 39.798 Kunden, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben hatten.
Die offengelegten Informationen umfassten Namen, E-Mail-Adressen, Versandadressen, Telefonnummern und Kaufdetails. SafePal erklärte, dass der Vorfall keine Seed-Phrasen, private Schlüssel, Geldbörsenpasswörter, Bankkontoinformationen, Zahlungskartennummern oder von der Regierung ausgestellte Identität betraf.
Die Sicherheit der SafePal-Hardware-Wallets wurde nicht beeinträchtigt
Laut der Offenlegung von SafePal entstand das Problem durch einen Autorisierungsfehler in einer Auftragsverfolgungsfunktion, die mit einem Plugin verbunden ist. Unter bestimmten Bedingungen ermöglichte der Fehler einen unbefugten Zugriff auf Bestellinformationen eines anderen Kunden.
Das Unternehmen erklärte, es habe das Problem nach Identifikation behoben und zusätzliche Sicherheitsmaßnahmen eingeführt. SafePal teilte außerdem mit, dass betroffene Kunden individuell per E-Mail benachrichtigt wurden.
Die Unterscheidung zwischen den offengelegten Informationen und den Wallet-Zugangsdaten bleibt zentral für den Vorfall. Die offengelegten Kundendaten enthielten kaufbezogene Informationen, während Seed-Phrasen, private Schlüssel und Wallet-Passwörter nicht in den betroffenen Daten enthalten waren.
Wie geleakte Eigentumsdaten das Sicherheitsbild verändern
SafePal erklärte, dass die betroffenen Informationen für gezielte Phishing- und Imitationsversuche verwendet werden könnten. Die Offenlegung listete konkret mögliche Ansätze auf, darunter betrügerische Anrufe, E-Mails, Textnachrichten, Briefe, Rückerstattungsangebote, Firmware-Update-Anfragen und gefälschte Kundensupport-Kommunikation.
Dies schafft eine andere Sicherheitssituation als eine unerwünschte Nachricht, die keine bekannten Informationen über den Empfänger enthält. In diesem Fall können die offengelegten Bestellinformationen Details direkt zum Kauf eines Kunden liefern.
Das Bestellsystem wurde Teil der Sicherheitskette
Der Vorfall hebt auch die Systeme rund um den Kauf von Hardware-Wallets hervor. Der gemeldete Fehler trat nicht in der Private-Key-Infrastruktur der Wallet auf. Stattdessen betraf es eine Funktion, die dazu diente, Kunden Bestellinformationen zu liefern.
SafePal teilte mit, dass es außerdem Drittanbieter-Logistik- und Fulfillment-Partner kontaktiert hat, um zu untersuchen, ob sich das Problem auf deren Systeme ausgebreitet habe. Das Unternehmen erklärte außerdem, dass es die Aufbewahrungsfrist für personenbezogene Daten im relevanten Auftragsverarbeitungsbereich auf 90 Tage verkürzt hat, vorbehaltlich der geltenden gesetzlichen Anforderungen.
Selbstverwahrungssicherheit geht über Wallet-Zugangsdaten hinaus
Der SafePal-Vorfall trennt zwei Informationskategorien im Zusammenhang mit dem Besitz von Hardware-Wallets. Die erste umfasst Seed-Phrasen, private Schlüssel und Wallet-Passwörter, die laut SafePal nicht offengelegt wurden. Die zweite enthält Kunden- und Kaufinformationen, die durch den Vorfall offengelegt wurden.
Für die betroffenen Kunden erklärte SafePal, dass der Vorfall selbst weder den Zugang zu Wallets noch die Gelder kompromittierte. Gleichzeitig riet das Unternehmen den Kunden, wachsam vor Phishing- und Imitationsversuchen im Zusammenhang mit den veröffentlichten Informationen zu bleiben.
Verwandt: 31 Sicherheitslücken setzen 99 % der x402-Krypto-Zahlungen Diebstahl und Betrug aus
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
