Des escrocs envoient de fausses lettres SafePal au domicile de clients italiens, utilisant noms, adresses et détails de commande issus dune fuite ayant exposé près de 40 000 acheteurs de wallets crypto de la marque.
SafePal affirme que ses wallets restent sécurisés. Ce sont en réalité les propriétaires qui sont visés. Quiconque saisit la phrase de récupération d‘un wallet – les mots de sauvegarde permettant de le reconstituer sur n’importe quel appareil – sur un faux site transmet la totalité de ses pièces à lescroc.
Comment fonctionnent les fausses lettres SafePal
Les lettres prétendent que le wallet du destinataire comporte une faille de firmware, autrement dit un problème dans le logiciel intégré à lappareil.
Sponsorisé
Sponsorisé
Un code QR renvoie vers un faux site SafePal hébergé sur Arweave, un réseau conçu pour stocker des fichiers de façon permanente. Tant la lettre que le site affichent le nom, ladresse et les détails de commande réels du client.
SafePal a confirmé l‘arnaque sur X jeudi, la reliant à l’incident de fuite de données survenu en août.
« Ces lettres ne proviennent PAS de SafePal et l‘infrastructure des wallets reste sécurisée. SafePal n’enverra jamais de lettres physiques ni ne demandera de phrases de récupération », a confirmé léquipe.
La marque demande aux destinataires de signaler ces lettres sur sa page scam-protection, en veillant à ce que le QR code apparaisse afin que le site puisse être supprimé.
Pourquoi les adresses postales divulguées restent un atout pour les escrocs
SafePal a révélé le 16 août quune faille dans un plugin de suivi de commande avait exposé les achats de 39 798 clients entre mars 2025 et avril 2026.
Noms, emails, adresses, numéros de téléphone et détails d‘achat ont fuité. Les phrases de récupération, clés privées et numéros de carte n’ont pas été compromis, précise la société.
BeInCrypto avait alors averti que la fuite SafePal révélait les adresses postales, qui ne changent pas.
Les clients Ledger ont déjà vécu cela. Lors de la fuite de 2020, les adresses de près de 272 000 utilisateurs ont fuité, et de fausses lettres Ledger ont été envoyées en 2025.
Le partenaire de livraison de Trezor a divulgué 13 689 dossiers clients en août. Ni Trezor, ni SafePal nont signalé de violation de la sécurité de leurs wallets eux-mêmes.