Quase 40.000 clientes da fabricante de carteiras cripto SafePal agora precisam ficar de olho em suas caixas de entrada com um pouco mais de atenção. A empresa divulgou em 16 de agosto que uma falha em seu sistema de rastreamento de pedidos expôs informações pessoais vinculadas a aproximadamente 39.798 contas de clientes, marcando uma das mais significativas divulgações de violação de dados da SafePal a atingir a indústria de carteiras de hardware neste ano. A boa notícia, segundo a SafePal, é que a violação nunca tocou nas credenciais que realmente protegem os fundos em cripto.
Summary
Principais pontos
- Uma falha de autorização no plugin de rastreamento de pedidos da SafePal expôs dados pessoais vinculados a aproximadamente 39.798 clientes que fizeram pedidos entre 2 de março de 2025 e 11 de abril de 2026.
- As informações expostas incluem nomes, endereços de e-mail, números de telefone, endereços de entrega e detalhes de compra — mas não frases-semente, chaves privadas, senhas de carteira, números de cartão de pagamento, dados bancários ou documentos de identificação governamentais.
- A SafePal afirma que não há evidências de que carteiras ou fundos de clientes tenham sido diretamente comprometidos pela própria violação.
- A empresa derrubou mais de 30 sites de phishing ligados ao incidente e reduziu a retenção de dados pessoais para 90 dias.
- A SafePal está contratando uma empresa de segurança independente de terceiros para auditar a correção, seguindo exposições de dados recentes semelhantes na Trezor e na Ledger.
O que desencadeou a violação de dados da SafePal
A causa raiz foi um defeito de autorização em um plugin que a SafePal usava para rastrear pedidos de clientes. Em determinadas condições, essa falha permitia que um cliente visualizasse as informações de pedido de outro cliente simplesmente manipulando um número de pedido — semelhante a uma página de rastreamento de entrega que, por engano, permite que um estranho acesse o recibo de outra pessoa.
A SafePal não informou exatamente quando o código vulnerável foi introduzido ou quantas partes externas podem ter acessado os registros expostos antes que a falha fosse encontrada e corrigida.
Escopo e tipo de dados expostos
Os registros expostos abrangem pedidos feitos entre 2 de março de 2025 e 11 de abril de 2026, de acordo com o relatório de incidente da SafePal e reportagens do The Block e da CoinDesk. Os dados incluíam nomes de clientes, endereços de e-mail, números de telefone, endereços de entrega e detalhes de compra — detalhes pessoais suficientes para tornar tentativas futuras de golpe mais convincentes.
A segurança das carteiras permaneceu intacta
A SafePal foi explícita sobre o que a violação não atingiu. A empresa afirmou que entre os dados comprometidos não estavam frases-semente, chaves privadas, senhas de carteira, números de cartão de pagamento, informações de conta bancária e números de identificação emitidos pelo governo, que nunca foram expostos. A SafePal acrescentou que não encontrou evidências de que a própria violação tenha comprometido o acesso às carteiras SafePal ou aos fundos dos clientes, uma distinção que importa, dado como o incidente provavelmente será percebido.
Risco de phishing aumenta para clientes da SafePal
O verdadeiro perigo para os usuários afetados não é cripto roubada — é a personificação convincente. Como os invasores podem combinar nomes reais, endereços e históricos de pedidos, tentativas de phishing construídas com base nesses dados podem parecer muito mais críveis do que um e-mail de golpe genérico. A SafePal alertou os usuários de que fraudadores poderiam se passar por funcionários da empresa alegando oferecer atualizações de firmware, reembolsos ou substituições de dispositivos de carteiras de hardware especificamente para induzir as vítimas a entregar credenciais de carteira.
Esse alerta não era hipotético. Reclamações públicas mencionando dados pessoais corretos surgiram no Reddit e no Trustpilot já em 3 e 4 de julho — semanas antes da divulgação pública da SafePal — descrevendo ligações fraudulentas de pessoas que já sabiam o nome, endereço, número de telefone, e-mail e detalhes de pedidos anteriores do cliente, e que direcionavam as vítimas para um site fraudulento que se passava por suporte da SafePal. A SafePal afirmou que investigou um relato anterior no início de maio, mas inicialmente o tratou como um caso isolado, só escalando para uma revisão completa e reconstrução de seu pipeline de processamento de pedidos em julho, quando a falha de autorização foi confirmada como a causa raiz.
Derrubada de sites de phishing e alertas aos clientes
A SafePal afirma ter identificado e removido mais de 30 sites fraudulentos e links de phishing ligados ao incidente, e continua monitorando novos domínios que tentem explorar os dados vazados. Os clientes afetados foram notificados individualmente por e-mail pela equipe de segurança da SafePal, e a empresa lançou uma ferramenta de verificação que permite aos usuários checar se seu pedido foi envolvido, inserindo o número do pedido e o país de entrega.
O que os usuários afetados devem fazer
A orientação da SafePal é direta: qualquer pessoa que já tenha inserido uma frase-semente ou chave privada em um site suspeito — seja após um e-mail, ligação telefônica ou correspondência física — deve tratar essa carteira como comprometida, gerar uma nova carteira e mover imediatamente quaisquer fundos restantes.
Resposta da SafePal: mudanças na retenção de dados e auditoria independente
Além de corrigir a falha imediata, a SafePal está reformulando por quanto tempo mantém dados de pedidos de clientes. A empresa afirma que está reduzindo a retenção de dados pessoais no ambiente afetado para apenas 90 dias a partir da data de coleta, uma mudança destinada a reduzir o conjunto de dados históricos expostos a qualquer incidente futuro. Essa decisão também reflete um problema separado: um erro de configuração fez com que um processo rotineiro de limpeza de dados funcionasse mal durante o período de setembro de 2025 a abril de 2026, o que significa que registros mais antigos permaneceram no sistema por muito mais tempo do que o pretendido, embora a SafePal afirme que essa falha, por si só, não causou o acesso não autorizado.
A SafePal também está contratando uma empresa de segurança independente de terceiros para verificar a solução e realizar uma avaliação de segurança abrangente de seus sistemas de processamento de pedidos, uma etapa destinada a tranquilizar os clientes de que o problema de autorização subjacente foi realmente resolvido, e não apenas remendado.
Um padrão emergente entre provedores de carteiras de hardware
A divulgação da SafePal ocorre poucos dias após um episódio semelhante com a rival fabricante de carteiras de hardware Trezor, cujo parceiro de envio ShipMonk expôs dados pessoais pertencentes a quase 14.000 clientes. No início deste ano, a Ledger notificou clientes sobre uma exposição comparável rastreada até a Global-e, a fornecedora de comércio terceirizada que lida com algumas compras feitas pelo site da Ledger. Em cada um desses casos — SafePal, Trezor e Ledger — as empresas envolvidas sustentaram que as carteiras e as chaves privadas permaneceram seguras o tempo todo.
Tomados em conjunto, o padrão aponta para um ponto fraco recorrente na indústria de carteiras de hardware: não é a criptografia que protege as chaves privadas que está falhando, é a infraestrutura de comércio e logística ao redor — plugins de rastreamento de pedidos, parceiros de envio, processadores de pagamento terceirizados — que continua vazando nomes e endereços de clientes para as mãos de golpistas. Para um setor construído sobre a promessa de segurança de autocustódia, essa distinção pode oferecer pouco conforto a um cliente que recebe uma ligação convincente de alguém que já sabe exatamente o que ele comprou e para onde foi enviado.
Perguntas frequentes
O que causou a violação de dados da SafePal?
Uma falha de autorização no plugin de rastreamento de pedidos da SafePal permitiu acesso não autorizado às informações de pedidos de clientes.
Que tipos de dados de clientes foram expostos na violação?
Os dados expostos incluíam nomes, endereços de e-mail, números de telefone, endereços de entrega e detalhes de compra.
Credenciais de carteira como frases-semente ou chaves privadas foram comprometidas?
Não, a SafePal confirmou que frases-semente, chaves privadas e senhas de carteira não foram expostas, e não há evidências de que carteiras ou fundos tenham sido comprometidos.
Que medidas a SafePal está tomando para proteger os clientes afetados?
A SafePal derrubou mais de 30 sites de phishing, reduziu a retenção de dados para 90 dias, notificou os clientes afetados e contratou uma empresa de segurança independente para auditar a correção.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”O que causou a violação de dados da SafePal?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Uma falha de autorização no plugin de rastreamento de pedidos da SafePal permitiu acesso não autorizado às informações de pedidos de clientes.”}},{“@type”:”Question”,”name”:”Que tipos de dados de clientes foram expostos na violação?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os dados expostos incluíam nomes, endereços de e-mail, números de telefone, endereços de entrega e detalhes de compra.”}},{“@type”:”Question”,”name”:”Credenciais de carteira como frases-semente ou chaves privadas foram comprometidas?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não, a SafePal confirmou que frases-semente, chaves privadas e senhas de carteira não foram expostas, e não há evidências de que carteiras ou fundos tenham sido comprometidos.”}},{“@type”:”Question”,”name”:”Que medidas a SafePal está tomando para proteger os clientes afetados?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A SafePal derrubou mais de 30 sites de phishing, reduziu a retenção de dados para 90 dias, notificou os clientes afetados e contratou uma empresa de segurança independente para auditar a correção.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
