- SafePal reveló un fallo de autorización que expuso datos de pedidos de casi 40.000 clientes.
- La vulnerabilidad afectó a los clientes que realizaron pedidos entre marzo de 2025 y abril de 2026.
- Los detalles filtrados de la compra pueden apoyar intentos dirigidos de phishing e suplantación.
La seguridad de las carteras hardware fue objeto de escrutinio después de que SafePal revelara que un fallo de autorización en un plugin de seguimiento de pedidos permitía el acceso no autorizado a la información de los pedidos de los clientes. El incidente afectó aproximadamente a 39.798 clientes que realizaron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026.
La información revelada incluía nombres, direcciones de correo electrónico, direcciones de envío, números de teléfono y detalles de compra. SafePal afirmó que el incidente no implicó frases semilla, claves privadas, contraseñas de cartera, información de cuentas bancarias, números de tarjeta de pago ni identificación emitida por el gobierno.
La seguridad de la cartera de hardware SafePal no se vio afectada
Según la divulgación de SafePal , el problema se originó en un fallo de autorización dentro de una función de seguimiento de pedidos conectada a un plugin. Bajo ciertas condiciones, el defecto permitía el acceso no autorizado a la información del pedido de otro cliente.
La empresa dijo que solucionó el problema tras identificarlo e introdujo medidas de seguridad adicionales. SafePal también indicó que los clientes afectados fueron notificados individualmente por correo electrónico.
La distinción entre la información expuesta y las credenciales de cartera sigue siendo central en el incidente. Los registros de clientes divulgados contenían información relacionada con las compras, mientras que las frases semilla, claves privadas y contraseñas de cartera no se incluyeron en los datos afectados.
Cómo los datos de propiedad filtrados cambian la situación de seguridad
SafePal afirmó que la información afectada podría utilizarse en intentos de phishing y suplantación dirigidos. Su divulgación enumeraba específicamente posibles enfoques, incluyendo llamadas fraudulentas , correos electrónicos, mensajes de texto, cartas, ofertas de reembolso, solicitudes de actualización del firmware y comunicaciones falsas de soporte al cliente.
Esto crea una situación de seguridad diferente a la de un mensaje no solicitado que no contiene información conocida sobre su destinatario. En este caso, la información del pedido revelada puede proporcionar detalles directamente relacionados con la compra del cliente.
El sistema de órdenes pasó a formar parte de la cadena de seguridad
El incidente también pone de manifiesto los sistemas relacionados con la compra de una cartera hardware. El fallo reportado no se produjo en la infraestructura de clave privada de la cartera. En cambio, afectó a una función utilizada para proporcionar información de pedidos a los clientes.
SafePal dijo que también contactó con socios externos de logística y cumplimiento para investigar si el problema se había extendido a sus sistemas. La empresa añadió que redujo el periodo de conservación de información personal en el entorno de procesamiento de pedidos correspondiente a 90 días, sujeto a los requisitos legales aplicables.
La seguridad de la autocustodia va más allá de las credenciales de cartera
El incidente de SafePal separa dos categorías de información relacionada con la propiedad de carteras de hardware. La primera incluye frases semilla, claves privadas y contraseñas de cartera, que según SafePal no se expusieron. La segunda incluye información de clientes y compras, que el incidente reveló.
En cuanto a los clientes afectados, SafePal afirmó que el incidente en sí no comprometió el acceso a la cartera ni los fondos. Al mismo tiempo, la empresa aconsejó a los clientes que permanecieran vigilantes ante intentos de phishing e imitación vinculados a la información expuesta.
Relacionado: 31 fallos de seguridad exponen el 99% de los pagos con criptomonedas x402 a robos y fraudes
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
