Una seed phrase se puede reemplazar. Una contraseña se puede restablecer. Una dirección de casa no. La filtración de datos de SafePal divulgada el domingo expuso casi 40,000 direcciones.
Tres días antes, Trezor filtró 13,689 más. Juntas, las dos fabricantes de hardware wallets expusieron 53,487 registros de clientes. Ninguna empresa perdió una sola criptomoneda.
Patrocinado
Patrocinado
¿Qué reveló la filtración de datos de SafePal？
SafePal informó que 39,798 clientes fueron afectados. La filtración incluyó nombres, correos electrónicos, números de teléfono, direcciones de envío y detalles de los pedidos.
Dear community,
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal) August 16, 2026
La causa fue una falla en el complemento que usa SafePal para hacer seguimiento de los pedidos. En algunos casos, un cliente podía ver los datos de otro cliente. Los pedidos afectados fueron desde el 2 de marzo de 2025 hasta el 11 de abril de 2026. Esa ventana permaneció abierta por más de 13 meses.
Las seed phrases, llaves privadas, datos bancarios y números de tarjetas no fueron afectados. SafePal ya corrigió la falla y ahora solo retiene los datos de pedidos por 90 días, según su comunicado.
Desempeño del precio de SafePal Token (SFP). Fuente: BeInCrypto
Patrocinado
Patrocinado
SafePal Token (SFP) casi no se movió el domingo, negociándose cerca de 0.23 dólares. Ese es el punto. Aquí no pasó nada financiero.
¿Por qué las direcciones filtradas duran más que las contraseñas filtradas？
Trezor se enteró de su propia filtración de datos de clientes el 10 de agosto. Su socio logístico, ShipMonk, había sido comprometido. Se filtraron todos los datos de 11,742 compradores de Trezor, según el aviso de la compañía. Salieron nombres, correos, teléfonos y direcciones de casa.
Las dos fallas fueron diferentes en el origen. Los datos de Trezor salieron por medio de un proveedor. Los de SafePal salieron por un sistema propio. Sin embargo, ambas listas valen lo mismo para un atacante. Comprar una hardware walletsugiere que tienes suficientes criptomonedas para moverlas fuera de un exchange.
Diferencias y similitudes entre los incidentes de Trezor y SafePal
Por eso, estos registros son más específicos que una filtración típica de un exchange. Relacionan a un probable holder que se autogestiona con una dirección física confirmada.
Los fiscales ya han visto este método
En mayo, fiscales de Estados Unidos anunciaron cargos contra tres hombres de Tennesseepor una serie de robos de 6.5 millones de dólares en California.
#FBI CASE UPDATE: Three men have been indicted on robbery, kidnapping, and conspiracy charges related to a $6 million cryptocurrency robbery spree throughout the Bay Area and LA. Elijah Armstrong, Nino Chindavanh, and Jayden Rucker – all from Tennessee- were charged on Conspiracy… pic.twitter.com/mIQQKjS3K2
— FBI SanFrancisco (@FBISanFrancisco) May 11, 2026
Los hombres se hicieron pasar por repartidores para llegar a las víctimas dentro de sus casas, según la acusación. Un registro de envío filtrado le da ese guion al siguiente grupo. Indica el nombre del comprador, la dirección y qué llegó en la caja.
El phishing es el problema menor. SafePal ha eliminado más de 30 sitios web y enlaces falsos relacionados con los datos filtrados. Las comunicaciones reales vinieron de security@safepal.com. Cualquier mensaje de otra dirección debe considerarse un ataque.
Ledger demuestra cuánto tiempo esto puede afectar. Su filtración de 2020 expuso alrededor de 272,000 direcciones postales, nombres y teléfonos, según el comunicado de la compañía.
Seis años después, Ledger sigue alertando a los clientes sobre cartas de phishing enviadas por correo. La empresa no relaciona directamente esas cartas con la filtración de 2020. Los dominios falsos se eliminan. Los correos se filtran. Las direcciones no caducan.
Trezor ahora planea una opción de entrega anónima, que llegará a la Unión Europea en septiembre y a Estados Unidos antes de fin de año. Pero llega demasiado tarde para los 53,487 registros que ya circulan.