Um dispositivo criado para manter criptomoedas longe de invasores pode proteger as chaves que controlam os ativos, mas existe outra informação valiosa para criminosos: saber quem comprou uma carteira física e onde essa pessoa mora.
A fabricante de carteiras de criptomoedas SafePal confirmou um vazamento de dados envolvendo 39.798 clientes, após identificar uma falha de autorização em um plugin utilizado no rastreamento de pedidos.
O incidente expôs informações pessoais e dados relacionados às compras realizadas entre 2 de março de 2025 e 11 de abril de 2026.
Entre os registros comprometidos estão nomes, endereços de e-mail, números de telefone, endereços de entrega e detalhes dos pedidos.
A SafePal afirma que a falha não permitiu acesso às próprias carteiras de criptomoedas e que informações críticas como seed phrases, chaves privadas e fundos dos clientes não foram comprometidas.
Ainda assim, a combinação dos dados vazados cria um risco importante: criminosos podem saber não apenas quem é a vítima, mas também que ela adquiriu um dispositivo destinado ao armazenamento de criptomoedas.
Falha estava no rastreamento de pedidos
Segundo informações divulgadas pela SafePal e reportadas por veículos especializados, a origem do problema foi uma falha de autorização em um plugin utilizado para rastrear pedidos.
O problema permitia acesso indevido às informações associadas a outros clientes.
Em termos simples, um sistema deveria garantir que cada comprador pudesse visualizar apenas as informações relacionadas ao próprio pedido.
A vulnerabilidade quebrou essa separação.
Um agente externo poderia, em determinadas circunstâncias, consultar informações pertencentes a outros compradores.
O resultado foi a exposição dos registros de 39.798 clientes.
Quais informações foram expostas?
Os registros comprometidos incluem dados particularmente úteis para campanhas de engenharia social:
- nome do cliente;
- endereço de e-mail;
- número de telefone;
- endereço físico de entrega;
- informações relacionadas ao pedido e produtos adquiridos.
A exposição do histórico de compra torna o incidente mais delicado do que um vazamento contendo apenas endereços de e-mail.
Um criminoso pode saber que determinada pessoa comprou uma carteira SafePal, qual produto adquiriu e possuir informações suficientes para entrar em contato com ela de maneira altamente personalizada.
Chaves privadas e criptomoedas não foram comprometidas
Existe uma distinção importante no incidente.
A falha atingiu o sistema relacionado aos pedidos e não a arquitetura responsável pela proteção das criptomoedas armazenadas nas carteiras.
Segundo a SafePal, o incidente não expôs seed phrases, chaves privadas, senhas das wallets, dados bancários, números de cartões de pagamento ou documentos de identificação governamentais.
Também não há indicação de que os fundos armazenados nas carteiras tenham sido diretamente comprometidos por essa vulnerabilidade.
Essa diferença é fundamental.
Possuir o nome, endereço e histórico de compras de um cliente não permite automaticamente movimentar suas criptomoedas.
Mas pode ajudar um criminoso a tentar convencer essa pessoa a entregar voluntariamente a informação que permitiria fazer isso.
Phishing passa a ser um dos principais riscos
O perigo imediato está na engenharia social.
Imagine receber uma ligação de alguém que conhece seu nome completo, telefone, endereço e sabe exatamente qual carteira SafePal você comprou.
O suposto atendente informa que foi detectado um problema de segurança no equipamento e diz que será necessário realizar uma atualização urgente.
Em seguida, envia um link.
O site pode ser praticamente idêntico ao da SafePal e solicitar que o usuário informe sua seed phrase para “validar” ou “recuperar” a carteira.
É justamente nesse momento que um vazamento de informações pessoais pode se transformar em roubo de criptomoedas.
Quanto mais informações reais o golpista possui, mais convincente pode ser sua abordagem.
SafePal já derrubou mais de 30 páginas fraudulentas
O risco não é apenas teórico.
A SafePal informou ter identificado e removido mais de 30 sites fraudulentos e links de phishing associados ao episódio.
A existência dessas páginas mostra como criminosos podem combinar dados pessoais com infraestrutura criada especificamente para enganar usuários.
A recomendação mais importante permanece a mesma para qualquer proprietário de uma hardware wallet:
a seed phrase nunca deve ser fornecida por telefone, e-mail, mensagem ou página enviada por um suposto atendente.
Uma empresa legítima não precisa dessas palavras para atualizar um dispositivo ou verificar uma conta.
Dados estariam sendo oferecidos para venda
Outro elemento aumenta a preocupação em torno do incidente.
Um agente malicioso afirma estar oferecendo os dados roubados para venda.
A existência da oferta foi reportada após a divulgação do vazamento.
No entanto, é importante fazer uma distinção jornalística: o anúncio feito pelo suposto invasor não comprova, por si só, que todo o conjunto oferecido seja autêntico ou que todos os registros estejam sendo efetivamente comercializados.
A confirmação feita pela SafePal refere-se à exposição das informações dos 39.798 clientes.
Mesmo assim, a possibilidade de circulação desses registros amplia o período de risco.
Dados pessoais não expiram como uma senha.
Nome, telefone e endereço podem continuar sendo utilizados em tentativas de fraude meses ou anos depois do incidente.
Clientes foram notificados
A SafePal informou que os clientes identificados como afetados receberam notificações sobre o vazamento.
As comunicações foram enviadas em 16 de agosto.
A empresa também corrigiu a vulnerabilidade responsável pelo acesso indevido e implementou medidas adicionais de segurança.
Além disso, uma empresa independente de cibersegurança foi contratada para validar a correção e revisar os sistemas relacionados ao processamento de pedidos.
SafePal reduz período de retenção de informações
O incidente também provocou mudanças na maneira como a companhia mantém dados relacionados às compras.
A SafePal informou que reduziu para 90 dias o período de retenção de determinados dados pessoais associados aos pedidos.
A estratégia segue um princípio importante de proteção de dados: informações que não precisam mais permanecer armazenadas não devem continuar disponíveis indefinidamente.
Quanto menor a quantidade de dados mantidos por uma empresa, menor tende a ser o volume disponível para criminosos caso um sistema seja comprometido.
Hardware wallets enfrentam um problema além da tecnologia
O caso da SafePal chama atenção por acontecer poucos dias depois de outro incidente envolvendo o mesmo segmento.
A Trezor confirmou recentemente a exposição de dados de 13.689 clientes após um incidente envolvendo sua parceira logística ShipMonk.
Nesse caso, também foram expostas informações pessoais e endereços de compradores, enquanto as chaves privadas e os dispositivos permaneceram seguros.
Os dois episódios possuem diferenças técnicas importantes e não há evidência de relação entre eles.
Mas ambos revelam o mesmo desafio estrutural.
Uma empresa pode construir uma carteira extremamente segura e ainda manter informações sensíveis sobre seus compradores em sistemas de comércio eletrônico, atendimento ou logística.
Endereço de um proprietário de criptomoedas possui outro valor
Há uma característica particularmente sensível nesses vazamentos.
Um endereço residencial normalmente é tratado como dado pessoal.
Quando ele aparece associado à compra de uma hardware wallet, ganha um contexto adicional.
Criminosos podem inferir que aquela pessoa possui ou já possuiu criptomoedas.
Isso não significa que todos os compradores mantenham grandes quantidades de ativos digitais, nem que a exposição resulte automaticamente em ameaça física.
Mas a associação aumenta o valor potencial dessas informações para determinados criminosos.
É um problema que fabricantes de hardware wallets precisam considerar na própria estratégia de privacidade.
Segurança precisa chegar também ao e-commerce
Fabricantes de carteiras físicas investem grande parte de sua comunicação em segurança criptográfica.
Secure elements, armazenamento offline, proteção de chaves e verificação de transações são diferenciais fundamentais desses equipamentos.
Mas os incidentes recentes mostram que a proteção precisa acompanhar toda a jornada do cliente.
Isso inclui:
segurança do e-commerce, controle de acesso aos pedidos, plugins utilizados pelo site, fornecedores logísticos, atendimento, políticas de retenção e proteção dos bancos de dados.
Para uma empresa do setor de criptomoedas, informações aparentemente comerciais também podem se transformar em dados de segurança.
O que clientes da SafePal devem fazer agora
Clientes que receberam a notificação da empresa devem aumentar a atenção principalmente para e-mails, telefonemas, mensagens e até correspondências relacionadas à SafePal.
Uma abordagem possuir informações corretas sobre uma compra não prova que ela seja legítima.
Pelo contrário: os dados vazados podem ser utilizados justamente para criar essa sensação de autenticidade.
Qualquer solicitação de seed phrase, chave privada ou transferência de criptomoedas deve ser considerada suspeita.
Também é recomendável evitar acessar páginas da SafePal por links enviados em mensagens inesperadas e verificar diretamente os canais oficiais da companhia.
Quem já tiver fornecido sua seed phrase a uma página ou pessoa suspeita deve considerar essa carteira comprometida e transferir os ativos para uma nova carteira criada com uma nova frase de recuperação.
Vazamentos mostram novo desafio para o mercado cripto
O incidente da SafePal reforça uma contradição importante da indústria.
Hardware wallets conseguem manter as credenciais responsáveis pelas criptomoedas fora da internet.
Mas comprar o dispositivo ainda exige uma interação com o mundo tradicional: nome, telefone, pagamento e endereço para entrega.
Assim, proteger a chave privada resolve apenas uma parte do problema.
À medida que criminosos percebem o valor dos bancos de dados relacionados a compradores de hardware wallets, sistemas de pedidos, e-commerce e logística passam a se tornar alvos igualmente interessantes.
Os 39.798 clientes atingidos pela SafePal mostram por que fabricantes de carteiras precisam tratar privacidade e minimização de dados como componentes da própria segurança dos produtos.
A carteira pode permanecer inviolada.
Mas, se um criminoso descobrir quem possui uma, onde essa pessoa mora e como entrar em contato com ela, uma nova superfície de ataque já foi criada.
