A fabricante de carteiras de hardware SafePal informou no domingo (16) que uma falha de autorização em sua infraestrutura de e-commerce expôs dados pessoais de cerca de 40 mil clientes. O problema atingiu o sistema de rastreamento de pedidos e alcançou registros de compras feitas entre 2 de março de 2025 e 11 de abril de 2026.
A companhia afirmou que os dados expostos incluem nomes, e-mails, endereços de entrega, telefones e detalhes de compra. A empresa disse que chaves privadas, frases de recuperação, senhas de carteiras, números de cartão e acesso às carteiras não estavam entre os dados vazados e que não encontrou evidências de uso da falha para comprometer carteiras ou roubar criptoativos.
A fabricante atribuiu o vazamento a dois fatores: uma falha de autorização permitiu o acesso não autorizado a registros de clientes; um erro de configuração impediu que o processo programado de limpeza de dados operasse entre setembro de 2025 e abril de 2026. O erro de retenção manteve registros antigos no sistema por mais tempo e ampliou o conjunto de dados acessíveis.
A retenção dos dados contraria a política divulgada pela própria SafePal em 2020, que previa a manutenção de informações de pedidos entregues por 30 dias e a destruição mensal dos registros.
A empresa disse que já removeu mais de 30 sites falsos e links de phishing direcionados a clientes e alertou para riscos de phishing, engenharia social e segurança física.
Série de incidentes
O caso da SafePal ocorre depois de outros incidentes com fabricantes de carteiras de hardware. A Trezor divulgou que uma violação em sua transportadora expôs dados de quase 14 mil clientes. A Ledger teve dados de pedidos expostos por meio do processador de pagamentos Global-e.
O incidente com a Coldcard causou a maior perda financeira. Uma falha no processo de geração de chaves permitiu que atacantes drenassem mais de US$ 100 milhões em Bitcoin, em múltiplas ondas de ataque iniciadas no fim de julho.
O cofundador da Binance, Changpeng Zhao, afirmou que vazamentos com nomes, telefones, e-mails e endereços de entrega podem ampliar riscos de phishing, engenharia social e ataques físicos. A Chainalysis registrou aumento dos chamados ataques com violência física, incluindo sequestros e invasões de residências para forçar a transferência de criptoativos. No primeiro semestre de 2026, os furtos somaram cerca de US$ 30 milhões, depois do recorde de US$ 58 milhões em 2025.
Os dados da Chainalysis também mostram que invasões de residências representaram 37% dos ataques violentos a detentores de criptomoedas em 2026. Sequestros corresponderam a mais da metade dos incidentes registrados.
Os casos recentes indicam que as carteiras de hardware não funcionam como uma linha única de defesa. Além de proteger chaves privadas, os usuários seguem expostos a falhas de firmware, vazamentos de bancos de dados e problemas na infraestrutura de autocustódia.
