La notizia in sintesi
- SafePal segnala l’esposizione dei dati d’ordine di 39.798 clienti.
- Non risultano compromessi fondi, seed phrase, chiavi private o dati bancari.
- Il rischio principale riguarda phishing e tentativi di impersonificazione mirati.
- L’azienda ha corretto la falla e avviato una revisione indipendente.
Riassunto generato con AI
SafePal: esposti dati d’ordine di quasi 40mila clienti
SafePal, fornitore di wallet hardware e software per criptovalute, ha comunicato il 16 agosto una violazione che ha esposto le informazioni relative agli ordini di circa 39.798 clienti. L’incidente ha riguardato il sistema di tracciamento degli acquisti e ha coinvolto ordini effettuati tra il 2 marzo 2025 e l’11 aprile 2026.
I dati accessibili comprendevano nomi, email, indirizzi di spedizione, numeri di telefono e dettagli degli acquisti. La causa è stata individuata in un difetto di autorizzazione di un plug-in: in determinate condizioni, utenti non autorizzati potevano visualizzare informazioni riferite ad altri ordini.
La società ha precisato che non sono stati esposti fondi in criptovalute, password dei wallet, seed phrase, chiavi private, carte di pagamento, coordinate bancarie o documenti d’identità. Il punto critico, quindi, non riguarda la custodia diretta degli asset ma l’uso dei dati personali per rendere più credibili eventuali frodi.
La falla, l’indagine e i rischi di phishing
SafePal riferisce di aver ricevuto una prima segnalazione di phishing a maggio, inizialmente trattata come caso isolato. In luglio è stata avviata un’indagine più ampia, con revisione e ricostruzione del flusso di elaborazione degli ordini, che ha confermato il difetto nel plug-in di tracking.
La platea coinvolta è stata ampliata anche da un errore di configurazione nel processo di cancellazione programmata dei dati, che tra settembre 2025 e aprile 2026 ha conservato record più a lungo del previsto. L’azienda sostiene che tale errore non abbia causato l’accesso non autorizzato, ma abbia esteso il periodo dei dati potenzialmente consultabili.
Il rischio più concreto è ora il phishing personalizzato: nomi, indirizzi e dettagli d’acquisto possono essere sfruttati per email, telefonate o lettere fraudolente apparentemente autentiche. SafePal afferma di non chiedere mai seed phrase, chiavi private o password agli utenti.
https://x.com/SafePal/status/2088937173139812792?ref_src=twsrc%5Etfw
L’azienda ha comunicato di avere corretto la vulnerabilità, introdotto ulteriori controlli di accesso e rimosso oltre 30 siti e link di phishing collegati all’attività fraudolenta. I clienti interessati sono stati contattati via email dall’indirizzo security@safepal.com.
Le misure adottate e cosa può cambiare
SafePal ha ridotto a 90 giorni la conservazione dei dati personali nell’ambiente di elaborazione degli ordini, fatti salvi eventuali obblighi di legge. Le informazioni degli utenti coinvolti sono state rimosse dai server e-commerce attivi, mentre una copia offline cifrata viene mantenuta per possibili indagini.
La società ha inoltre incaricato una società di sicurezza indipendente di validare la correzione e verificare l’intero sistema di gestione ordini. Ha dichiarato di non avere evidenze di un’estensione dell’incidente ai sistemi dei partner logistici e di fulfillment.
Per gli utenti, la conseguenza futura più rilevante è la necessità di distinguere le comunicazioni ufficiali dai contatti ingannevoli. Chi avesse già inserito seed phrase o chiavi private su siti sospetti deve considerare il wallet compromesso e trasferire gli asset in un nuovo wallet.
FAQ
Quali dati dei clienti SafePal sono stati esposti?
Sì, risultano esposti nomi, email, indirizzi di spedizione, telefoni e dettagli degli acquisti di circa 39.798 clienti.
I fondi e le chiavi private sono stati compromessi?
No, SafePal afferma che fondi, seed phrase, chiavi private, password wallet, carte, dati bancari e documenti d’identità non sono stati esposti.
Come verificare se il proprio ordine è coinvolto?
Sì, i clienti possono usare lo strumento di verifica di SafePal inserendo numero d’ordine e Paese di spedizione.
Cosa fare dopo aver condiviso una seed phrase?
Sì, occorre trattare il wallet come compromesso, crearne uno nuovo e trasferire gli asset residui senza utilizzare ulteriormente le credenziali esposte.
Come è stato verificato questo contenuto?
Sì, nasce da analisi approfondita e verifica incrociata della nostra Redazione su più fonti: CoinDesk e crypto.news.
