Eine Seed Phrase kann ersetzt werden, ein Passwort kann zurückgesetzt werden. Eine Wohnadresse kann das nicht. Die am Sonntag bekannt gewordene SafePal-Datenpanne hat fast 40.000 davon offengelegt.
Drei Tage zuvor gab Trezor 13.689 weitere Datensätze preis. Zusammen brachten es die beiden Hardware-Wallet-Hersteller auf 53.487 offengelegte Kundendatensätze. Kein Coin ist verloren gegangen.
Was die SafePal-Datenpanne offengelegt hat
SafePal gab bekannt, dass 39.798 Kunden betroffen sind. Offengelegt wurden Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestelldetails.
Grund dafür ist eine Schwachstelle im Plugin, das SafePal zur Bestellverfolgung einsetzt. In einigen Fällen konnte ein Kunde die Daten eines anderen Kunden einsehen.
Betroffen waren Bestellungen vom 2.3.2025 bis zum 11.4.2026. Der Zeitraum umfasste mehr als 13 Monate.
Seed Phrases, Private Keys, Bankdaten und Kartennummern waren nicht betroffen. SafePal hat die Schwachstelle behoben und die Aufbewahrungsdauer der Bestelldaten laut offizieller Mitteilung auf 90 Tage reduziert.
Der SafePal Token (SFP) bewegte sich am Sonntag kaum und lag bei etwa 0,23 USD. Das ist der Punkt: Finanziell geschah hier nichts.
Warum geleakte Adressen länger Folgen haben als geleakte Passwörter
Trezor erfuhr am 10. August von der eigenen Datenpanne. Der Versandpartner ShipMonk wurde kompromittiert.
Laut unternehmensinterner Mitteilung wurden vollständige Daten von 11.742 Trezor-Käufern veröffentlicht. Namen, E-Mail-Adressen, Telefonnummern und Wohnadressen gelangten nach außen.
Die beiden Vorfälle unterscheiden sich im Ursprung. Bei Trezor verließ die Daten über einen Zulieferer das System, bei SafePal war das eigene System betroffen.
Beide Listen sind für Angreifer jedoch gleich wertvoll. Wer eine Hardware Wallet kauft, besitzt vermutlich genug Kryptowährung, um sie von einer Börse abzuheben.
Die Daten sind daher enger gefasst als bei einem typischen Börsenleck. Hier läuft die Zuordnung von einem wahrscheinlichen Selbstverwahrer direkt zur bestätigten Haustür.
Staatsanwaltschaften kennen dieses Vorgehen bereits
Im Mai erhoben US-Staatsanwälte Anklage gegen drei Männer aus Tennessee wegen einer 6,5-Millionen-USD-Raubserie in Kalifornien.
Laut Anklageschrift gaben sich die Männer als Lieferanten aus, um die Opfer in deren Häusern zu erreichen.
Ein geleakter Versanddatensatz liefert das nötige Drehbuch für die nächste Gruppe. Er benennt den Käufer, gibt die Adresse an und verrät, was im Paket war.
Phishing ist das kleinere Problem. SafePal hat über 30 gefälschte Webseiten und Betrugslinks entfernt, die mit den gestohlenen Daten in Verbindung stehen.
Echte Benachrichtigungen kamen von [email protected]. Alles von anderen Absenderadressen sollte als Angriff betrachtet werden.
Der Ledger-Fall zeigt, wie lange sich solche Vorfälle auswirken. Die Datenpanne im Jahr 2020 brachte etwa 272.000 Postadressen, Namen und Telefonnummern an die Öffentlichkeit, wie das Unternehmen mitteilt.
Sechs Jahre später warnt Ledger seine Kunden immer noch vor Phishing-Briefen, die per Post eintreffen. Das Unternehmen verbindet diese Schreiben jedoch nicht direkt mit dem Leak von 2020.
Betrugsseiten werden entfernt, Posteingänge werden gefiltert, Adressen laufen nicht ab.
Trezor plant nun eine anonyme Versandoption, die im September die Europäische Union und bis Jahresende die USA erreicht. Für die 53.487 bereits kursierenden Datensätze kommt dieses Angebot zu spät.
