SafePal gab am 16. August bekannt, dass ein Autorisierungsfehler in einem Plugin zur Sendungsverfolgung Bestellinformationen von etwa 39.798 Personen offengelegt hat.
Zusammenfassung
- Fast vierzigtausend SafePal-Kunden hatten ihre Bestellinformationen durch einen Autorisierungsfehler in einer Software offengelegt.
- Offengelegte Datensätze umfassten Namen, E-Mails, Lieferadressen, Telefonnummern und detaillierte SafePal-Kaufinformationen.
- Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Zahlungsdetails und staatliche Ausweisnummern wurden nicht offengelegt.
- SafePal entfernte anschließend über 30 Phishing-Websites und verkürzte die Aufbewahrungsdauer personenbezogener Daten auf 90 Tage.
- SafePal erhielt im Mai einen Phishing-Bericht, bevor es den Autorisierungsfehler bei Untersuchungen im Juli bestätigte.
Die betroffenen Datensätze umfassten Bestellungen, die zwischen dem 2. März 2025 und dem 11. April 2026 aufgegeben wurden, und enthielten Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails. SafePal gab an, betroffene Kunden am Sonntag einzeln per E-Mail benachrichtigt und ein Tool bereitgestellt zu haben, mit dem Käufer Bestellungen anhand ihrer Bestellnummer und des Lieferlandes überprüfen können.
Der Wallet-Anbieter erklärte, dass Seed-Phrasen, private Schlüssel, Wallet-Passwörter, Zahlungskartennummern, Bankkontoinformationen und staatlich ausgestellte Ausweisnummern nicht offengelegt wurden. SafePal gab außerdem an, keine Hinweise darauf gefunden zu haben, dass der Vorfall selbst den Wallet-Zugriff oder Kundengelder gefährdet habe.
SafePal führte die Offenlegung auf einen Fehler in der Sendungsverfolgung zurück
SafePal erklärte, das Problem sei ein Autorisierungsfehler in einem Plugin zur Sendungsverfolgung gewesen. Unter bestimmten Bedingungen ermöglichte der Fehler unbefugten Zugriff auf die Bestellinformationen eines anderen Kunden. Das Unternehmen gab an, die Schwachstelle behoben und nach der Identifizierung zusätzliche Zugriffskontrollen eingeführt zu haben.
Die FAQ zum Vorfall des Unternehmens bietet einen längeren Zeitplan. SafePal gab an, Anfang Mai erstmals einen Phishing-Bericht erhalten zu haben, der mit dem Problem übereinstimmte. Zunächst behandelte es den Bericht als Einzelfall, bevor es ihn zu einer formellen Sicherheitsuntersuchung hochstufte. Im Juli begann das Unternehmen mit einer vollständigen Überprüfung und dem Neuaufbau seiner Bestellabwicklung und bestätigte während dieser Untersuchung den Plugin-Fehler.
Fehler bei der Datenaufbewahrung erweiterte den betroffenen Zeitraum
SafePal gab separat bekannt, dass ein geplanter Datenbereinigungsprozess zwischen September 2025 und April 2026 aufgrund eines Konfigurationsfehlers nicht ordnungsgemäß funktionierte. Laut Unternehmen habe dieser Fehler nicht den unbefugten Zugriff verursacht, aber dazu geführt, dass ältere Bestelldatensätze länger als beabsichtigt gespeichert wurden, was dazu beigetragen habe, den betroffenen Zeitraum bis März 2025 auszudehnen.
SafePal hat die Aufbewahrungsdauer personenbezogener Daten in der relevanten Bestellverarbeitungsumgebung nun auf 90 Tage reduziert, vorbehaltlich gesetzlicher Anforderungen. Es gab an, dass die personenbezogenen Daten betroffener Kunden von aktiven E-Commerce-Servern entfernt wurden, während eine verschlüsselte Offline-Kopie zur Unterstützung möglicher Untersuchungen aufbewahrt wird.
Phishing ist nun das Hauptrisiko für Kunden
Die offengelegten Informationen könnten Angreifern helfen, überzeugendere Phishing-Versuche mit echten Namen, Adressen und Kaufdetails zu erstellen. SafePal gab an, bereits mehr als 30 betrügerische Websites und Phishing-Links im Zusammenhang mit Betrugsaktivitäten identifiziert und entfernt zu haben und überwacht weiterhin neue Domains.
Das Risiko ähnelt anderen jüngsten Vorfällen in der Wallet-Branche. Wie crypto.news berichtete, hat eine Sicherheitsverletzung bei einem Drittanbieter-Versand personenbezogene Daten von 13.689 Trezor-Kunden offengelegt, einschließlich Namen, E-Mails, Telefonnummern und Lieferadressen. In verwandter Berichterstattung haben Betrüger auch gefälschte Trezor- und Ledger-Briefe per Post verschickt, die QR-Codes enthalten, die darauf ausgelegt sind, Wiederherstellungsphrasen zu stehlen.
SafePal betonte, dass es Kunden niemals nach Seed-Phrasen, privaten Schlüsseln oder Passwörtern fragt. Es sagte, dass Benutzer keine Vermögenswerte bewegen müssen, nur weil ihre Bestellinformationen offengelegt wurden. Wer jedoch bereits eine Seed-Phrase oder einen privaten Schlüssel auf einer verdächtigen Website eingegeben hat, sollte „diese Wallet als kompromittiert betrachten“, eine neue Wallet erstellen und verbleibende Vermögenswerte übertragen.
Was als Nächstes passiert
SafePal sagte, dass es ein unabhängiges externes Sicherheitsunternehmen beauftragt, um seinen Fix zu validieren und eine breitere Überprüfung seiner Auftragsabwicklungssysteme durchzuführen. Das Unternehmen wurde noch nicht öffentlich benannt. SafePal kontaktierte auch Logistik- und Fulfillment-Partner und sagte, dass es bisher keine Hinweise darauf gefunden habe, dass der Vorfall auf ihre Systeme übergegriffen habe.
Das Unternehmen hat einen speziellen Support-Kanal eingerichtet und sagt, dass es On-Chain-Asset-Tracing-Spezialisten für Kunden kontaktiert, die finanzielle Verluste melden. SafePal warnte, dass dies „keine Anerkennung der Haftung oder Verpflichtung zur Entschädigung darstellt“. Es hat die unbefugte Partei nicht identifiziert oder einen bestätigten Betrag des Verlusts durch nachfolgendes Phishing offengelegt. Weitere Erkenntnisse werden über seine offiziellen Sicherheitsupdates erwartet.
