Eine Seed-Phrase kann ersetzt werden. Ein Passwort kann zurückgesetzt werden. Eine Wohnadresse kann nicht ersetzt werden. Der Datenleck von SafePal, der am Sonntag bekannt wurde, hat fast 40.000 davon offengelegt.
Drei Tage zuvor hatte Trezor 13.689 weitere geleakt. Zusammen haben die beiden Hardware-Wallet-Hersteller 53.487 Kundenaufzeichnungen offengelegt. Kein Unternehmen hat auch nur einen einzigen Coin verloren.
Was der SafePal-Datenleck offengelegt hat
SafePal gab an, dass 39.798 Kunden betroffen waren. Der Leak umfasste Namen, E-Mails, Telefonnummern, Versandadressen und Bestelldetails.
Die Ursache war ein Fehler im Plugin, das SafePal verwendet, um Bestellungen zu verfolgen. In einigen Fällen konnte ein Kunde die Aufzeichnung eines anderen Kunden öffnen.
Betroffene Bestellungen reichten vom 2. März 2025 bis zum 11. April 2026. Dieses Zeitfenster blieb mehr als 13 Monate lang geöffnet.
Seed-Phrasen, private Schlüssel, Bankdaten und Kartennummern wurden nicht berührt. SafePal hat den Fehler behoben und die Aufbewahrungsfrist für Bestelldaten auf 90 Tage verkürzt, gemäß seiner Offenlegung.
Der SafePal-Token (SFP) bewegte sich am Sonntag kaum und handelte nahe bei 0,23 $. Das ist der Punkt. Hier ist nichts Finanzielle passiert.
Warum geleakte Adressen länger überleben als geleakte Passwörter
Trezor erfuhr am 10. August von seinem eigenen Datenleck. Sein Versandpartner, ShipMonk, war kompromittiert worden.
Vollständige Details für 11.742 Trezor-Käufer geleakt, laut der Mitteilung des Unternehmens. Namen, E-Mails, Telefonnummern und Wohnadressen wurden alle veröffentlicht.
Die beiden Vorfälle unterscheiden sich grundlegend. Die Daten von Trezor wurden über einen Lieferanten geleakt. Die von SafePal wurden über ein System, das es selbst betrieb, geleakt.
Beide Listen sind jedoch für einen Angreifer gleichwertig. Der Kauf einer Hardware-Wallet deutet darauf hin, dass Sie genug Krypto besitzen, um es von einer Börse abzuziehen.
Diese Aufzeichnungen sind also enger gefasst als ein typischer Börsen-Leak. Sie verbinden einen wahrscheinlichen Selbstverwahrer mit einer bestätigten Haustür.
Staatsanwälte haben dieses Spielbuch bereits gesehen.
Im Mai kündigten US-Staatsanwälte Anklagen gegen drei Männer aus Tennessee wegen einer Raubserie im Wert von 6,5 Millionen Dollar in Kalifornien an.
Die Männer gaben sich als Lieferpersonen aus, um die Opfer in ihren Häusern zu erreichen, heißt es in der Anklage.
Ein geleaktes Versandprotokoll übergibt dieses Skript an die nächste Gruppe. Es nennt den Käufer, gibt die Adresse an und sagt, was in der Box angekommen ist.
Phishing ist das kleinere Problem. SafePal hat mehr als 30 gefälschte Websites und Betrugslinks entfernt, die mit den gestohlenen Daten verbunden sind.
Echte Mitteilungen kamen von [email protected]. Alles von einer anderen Adresse sollte als Angriff behandelt werden.
Das Ledger zeigt, wie lange dieser Zeitraum dauert. Der Verstoß von 2020 hat etwa 272.000 Postadressen, Namen und Telefonnummern offengelegt, gemäß der Aussage des Unternehmens.
Sechs Jahre später warnt Ledger weiterhin Kunden vor Phishing-Briefen, die per Post eintreffen. Das Unternehmen verbindet diese Briefe nicht mit dem Leak von 2020.
Betrugsdomains werden entfernt. Postfächer werden gefiltert. Adressen laufen nicht ab.
Trezor plant nun eine anonyme Lieferoption, die im September die Europäische Union und bis Ende des Jahres die USA erreicht. Es kommt zu spät für die bereits im Umlauf befindlichen 53.487 Datensätze.
Quelle: BeInCrypto
