SafePal confirma exposição de dados de 39.798 clientes; empresa diz que wallets não foram comprometidas
A falha ocorreu no sistema de acompanhamento de encomendas. A SafePal diz não ter encontrado evidência de acesso às wallets, chaves privadas ou fundos dos clientes.
A SafePal confirmou uma violação de dados que expôs informação pessoal e de encomendas de aproximadamente 39.798 clientes.
O incidente não aconteceu dentro das hardware wallets nem envolveu diretamente as chaves utilizadas para controlar os criptoativos. O problema estava numa parte muito mais convencional da operação: o sistema utilizado para acompanhar encomendas.
Segundo a empresa, uma falha de autorização na função de acompanhamento de encomendas de um plug-in permitia, em determinadas condições, aceder à informação de outro cliente.
A SafePal diz ter corrigido o problema depois de o identificar e introduzido medidas adicionais de segurança.
O que ficou exposto
O incidente afetou clientes que fizeram encomendas entre 2 de março de 2025 e 11 de abril de 2026.
Entre os dados acedidos sem autorização estavam:
- nome;
- endereço de email;
- morada de envio;
- número de telefone;
- detalhes da compra.
A empresa afirma que o incidente não envolveu seed phrases, chaves privadas, passwords das wallets, informação bancária, números de cartões de pagamento ou números de documentos oficiais de identificação.
Também diz não ter encontrado evidência de que a falha tenha permitido aceder às próprias wallets ou aos fundos dos clientes.
Esta distinção é importante.
O incidente conhecido não quebrou o mecanismo criptográfico utilizado para proteger os ativos. Mas expôs informação que pode ajudar um atacante a identificar alguém que comprou um produto destinado precisamente a guardar criptoativos.
A wallet pode estar segura e o proprietário tornar-se um alvo
Uma hardware wallet tenta manter as chaves privadas afastadas de sistemas mais expostos.
Mas comprar o dispositivo envolve uma infraestrutura completamente diferente: loja online, encomenda, pagamento, transporte, apoio ao cliente e armazenamento de dados pessoais.
É nessa camada que ocorreu o incidente da SafePal.
Para um atacante, saber o nome, email, telefone, morada e o produto comprado pode tornar uma tentativa de fraude muito mais convincente.
A própria SafePal avisa que os clientes afetados podem ser alvo de chamadas, emails, SMS, cartas ou falsas comunicações relacionadas com suporte técnico, reembolsos, devoluções ou alegadas atualizações de firmware.
O objetivo seria levar a vítima a revelar precisamente aquilo que não foi obtido no incidente: uma seed phrase, uma chave privada ou outras credenciais da wallet.
Há já sinais de atividade de phishing
A SafePal afirma ter identificado e retirado do ar mais de 30 sites fraudulentos e links de phishing relacionados com estas atividades e diz continuar a monitorizar novos casos.
A empresa reconhece também que recebeu, já em maio, um relato compatível com o problema. Na altura, o caso foi tratado como isolado. A investigação foi posteriormente alargada e, em julho, a SafePal iniciou uma revisão mais profunda do sistema de processamento de encomendas, acabando por identificar a falha.
Durante essa análise, a empresa encontrou ainda um problema separado no processo de eliminação de dados: uma tarefa programada deixou de funcionar corretamente entre setembro de 2025 e abril de 2026, fazendo com que informação mais antiga permanecesse guardada durante mais tempo do que o previsto.
Segundo a SafePal, esse erro não causou o acesso não autorizado, mas ajuda a explicar por que razão os dados afetados recuam até março de 2025.
A empresa vai guardar menos dados
Na sequência do incidente, a SafePal diz ter reduzido para 90 dias o período de retenção de informação pessoal no ambiente relevante de processamento de encomendas, sujeito às obrigações legais aplicáveis.
Uma empresa externa de cibersegurança está também a ser envolvida para validar a correção e fazer uma revisão mais ampla dos sistemas de processamento de encomendas.
Para os clientes afetados, a recomendação principal da SafePal é desconfiar de qualquer contacto inesperado que peça uma seed phrase, chave privada ou password.
A empresa diz que nunca solicita esses dados através de email, telefone ou outros canais.
- Resultados da validação externa anunciada pela SafePal
- Novas campanhas de phishing dirigidas aos clientes afetados
- Eventual confirmação independente — ou refutação — da alegada venda dos dados
- Novas medidas de retenção e proteção de dados adotadas pela empresa
E os dados estarão à venda?
Há uma alegação de que a informação obtida no incidente está a ser oferecida para venda num fórum de cibercrime.
O BleepingComputer encontrou uma publicação na qual um interveniente afirma possuir dados relativos ao mesmo período e aproximadamente ao mesmo número de clientes divulgado pela SafePal.
Mas a publicação especializada sublinha que não conseguiu verificar independentemente que o vendedor possui realmente a base de dados.
Por isso, neste momento, a eventual venda dos dados deve ser tratada como alegação e não como facto confirmado.