Das SafePal Datenleck betrifft rund 39.798 Kunden, deren Namen, Adressen und Bestelldaten aus dem Zeitraum März 2025 bis April 2026 offenlagen. Kryptowährungen, Passwörter und private Schlüssel waren laut SafePal nicht betroffen.
Sicherheit in der Praxis: Datenleck bei SafePal
Das SafePal Datenleck ist am Sonntag, 16. August 2026, bekannt geworden: Nach eigenen Angaben des Wallet-Anbieters sind rund 39.798 Kunden betroffen. Offengelegt wurden Bestelldaten aus dem Zeitraum zwischen dem 2. März 2025 und dem 11. April 2026, darunter Namen, Postadressen, Telefonnummern und E-Mail-Adressen. Kryptowährungen, private Schlüssel, Seed-Phrasen und Wallet-Passwörter waren nach Unternehmensangaben zu keinem Zeitpunkt zugänglich.
SafePal ist ein Anbieter von Hardware- und Software-Wallets mit mehreren Millionen Nutzern weltweit und zählt zu den bekannteren Multi-Chain-Wallets im Markt. Betroffen war laut Unternehmen ausschließlich ein Plug-in zur Bestellverfolgung im Online-Shop, nicht die Wallet-Infrastruktur selbst. Das SafePal Datenleck reiht sich damit in eine Serie von Vorfällen ein, bei denen nicht die Verwahrung von Coins, sondern angeschlossene Web-Dienste zum Einfallstor wurden.
40.000 Wallets: Das SafePal Datenleck im Detail
Ursache für das SafePal Datenleck war laut Unternehmen ein Autorisierungsfehler in der Bestellverfolgung des Online-Shops. Über manipulierte Bestellnummern konnten Angreifer offenbar auf Datensätze anderer Kunden zugreifen, vergleichbar mit einem Paketverfolgungssystem, das fremde Quittungen preisgibt. Die betroffenen Datensätze enthalten laut dem Sicherheitsupdate Namen, Lieferadressen, Telefonnummern, E-Mail-Adressen und Kaufdetails, jedoch keine Zahlungs- oder Ausweisdaten.
SafePal kündigte an, die Schwachstelle im Plug-in zu patchen, eine externe Sicherheitsprüfung zu beauftragen und personenbezogene Daten künftig nach 90 Tagen zu löschen. Betroffene Kunden wurden per E-Mail von der Adresse [email protected] benachrichtigt.
Transparenz unter Druck: SafePals verspätete Offenlegung
Nach Kundenberichten kursierten bereits im Juli 2026 Phishing-Mails mit echten Bestelldetails, mehrere Nutzer meldeten sich daraufhin beim SafePal-Support. Bestätigt wurde der Vorfall offiziell erst am 16. August, mehrere Wochen später, und bislang nicht von SafePal selbst eingeräumt, daher als unbestätigt zu behandeln.
Der Fall zeigt, dass zentrale Wallet Risiken nicht an der Verwahrung von Coins enden, sondern bereits bei angeschlossenen Web-Diensten beginnen. Wer Adressen und Bestellhistorien bei einem zentralen Anbieter hinterlegt, überträgt damit Kontrolle über diese Daten an dessen Systeme, unabhängig davon, wie die eigenen Schlüssel verwahrt werden.
Offen bleibt, ob die externe Prüfung weitere Lücken im SafePal-Ökosystem aufdeckt. Für betroffene Kunden bleibt vorerst nur die Bestellhistorie kompromittiert, die Kontrolle über die eigenen Schlüssel liegt unverändert bei ihnen selbst.
Wir berichteten über das Datenleck bei Bitrefill nach einem Lazarus-Angriff.
