Una falla di autorizzazione in un plugin usato per tracciare gli ordini ha esposto per mesi i dati personali di quasi 40mila clienti di SafePal, uno dei produttori più noti di wallet hardware per crypto. La società ha reso pubblico l’incidente domenica 16 agosto, ma le prime segnalazioni di comportamenti sospetti risalgono a settimane prima, quando alcuni utenti avevano già denunciato tentativi di phishing su Reddit e Trustpilot. La violazione dati SafePal non ha toccato le chiavi private né i fondi custoditi nei wallet, ma ha lasciato scoperto un fianco enorme: quello dell’ingegneria sociale contro chi possiede crypto.
Summary
Punti chiave
- La violazione ha esposto i dati personali di circa 39.798 clienti SafePal che avevano effettuato ordini tra il 2 marzo 2025 e l’11 aprile 2026.
- I dati coinvolti includono nomi, email, numeri di telefono, indirizzi di spedizione e dettagli degli acquisti, ma non seed phrase, chiavi private, password del wallet, dati di carte di pagamento, conti bancari o documenti d’identità.
- SafePal ha rimosso oltre 30 siti web di phishing collegati all’incidente e continua a monitorare nuovi domini fraudolenti.
- L’azienda ha ridotto a 90 giorni la conservazione dei dati personali e ha incaricato una società di sicurezza indipendente di verificare la correzione.
- Il caso segue episodi simili avvenuti di recente presso Trezor e Ledger, altri due produttori di wallet hardware.
Dettagli e impatto della violazione dati SafePal
Al centro di tutto c’è un errore tecnico nel sistema che permette ai clienti di seguire lo stato dei propri ordini. Questo difetto ha permesso, in determinate condizioni, di accedere alle informazioni relative agli ordini di altri utenti semplicemente modificando i parametri della richiesta.
La falla nel plugin di tracciamento ordini
SafePal ha spiegato che il problema nasceva da un difetto di autorizzazione nel plugin dedicato al tracciamento degli ordini. In pratica, il sistema non verificava correttamente che l’utente collegato fosse davvero il proprietario dell’ordine consultato: un errore paragonabile a un servizio di corrieri che lascia visibile lo scontrino e i dettagli di consegna di un cliente a chiunque cambi il numero d’ordine nell’URL.
I record esposti riguardano gli ordini piazzati tra il 2 marzo 2025 e l’11 aprile 2026, un arco temporale piuttosto ampio che ha coinvolto quasi 39.800 persone.
Ambito e tipologia dei dati esposti
Tra le informazioni finite fuori controllo figurano nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e dettagli sugli acquisti effettuati. Sono dati sufficienti, di per sé, a costruire un profilo credibile della vittima e a impostare un attacco di ingegneria sociale su misura.
La sicurezza dei wallet è rimasta intatta
Su un punto SafePal è stata netta: seed phrase, chiavi private, password del wallet, numeri di carte di pagamento, dati bancari e documenti d’identità governativi non sono stati esposti. L’azienda ha inoltre dichiarato di non aver trovato alcuna prova che l’incidente abbia direttamente compromesso l’accesso ai wallet o ai fondi dei clienti. È una distinzione importante, perché separa un problema di privacy — grave, ma contenibile — da un potenziale disastro finanziario diretto.
Rischi phishing e le contromisure di SafePal
Il pericolo reale per i clienti coinvolti non è la perdita immediata di fondi, ma la possibilità di cadere in truffe costruite su misura grazie ai dati sottratti. Chi conosce nome, indirizzo e cronologia degli ordini di una persona può impersonare con grande credibilità il servizio clienti di un’azienda.
Un rischio phishing aumentato dai dati personali esposti
SafePal ha avvertito che i malintenzionati potrebbero contattare gli utenti fingendosi dipendenti dell’azienda, offrendo aggiornamenti firmware, rimborsi o dispositivi sostitutivi con l’obiettivo di sottrarre le credenziali del wallet. Non è uno scenario teorico: alcune segnalazioni pubbliche precedono di settimane la comunicazione ufficiale dell’azienda. Una recensione su Trustpilot datata 4 luglio racconta di truffatori che, spacciandosi per SafePal, avevano già “tutte le informazioni sull’account” di un cliente e lo avevano indirizzato verso un sito falso per richiedere un wallet hardware sostitutivo. Un post su Reddit del 3 luglio descrive una dinamica simile: una chiamata da un truffatore che conosceva nome, indirizzo, telefono, email e dettagli dell’ordine effettuato l’anno precedente, con l’invito a visitare lo stesso dominio fraudolento.
Secondo quanto riportato, SafePal aveva già avviato verifiche interne dopo le prime segnalazioni di inizio maggio, ma inizialmente le aveva trattate come un caso isolato. È solo a luglio, con la ricostruzione completa della pipeline di gestione degli ordini, che l’azienda ha individuato e confermato la causa profonda del problema.
Decine di siti phishing rimossi
Una volta accertata la falla, SafePal ha individuato e fatto rimuovere oltre 30 siti web e link di phishing collegati alla truffa, continuando a monitorare l’apparizione di nuovi domini sospetti. L’azienda ha inviato email personalizzate a tutti i clienti interessati dall’indirizzo [email protected] e ha attivato uno strumento sul proprio sito che permette di verificare, tramite numero d’ordine e paese di spedizione, se i propri dati sono stati coinvolti.
Per chi ha già inserito seed phrase o chiavi private su un sito sospetto, il consiglio di SafePal è drastico ma necessario: considerare quel wallet compromesso, crearne uno nuovo e trasferire immediatamente i fondi rimasti.
Le misure di remediation e la strategia futura di SafePal
Oltre alla correzione tecnica del plugin difettoso, SafePal ha annunciato un cambiamento nelle proprie politiche di gestione dei dati: la conservazione delle informazioni personali nell’ambiente coinvolto è stata ridotta a 90 giorni dalla data di raccolta. Una revisione che punta a limitare i danni di eventuali incidenti futuri, riducendo la finestra temporale di dati potenzialmente vulnerabili.
Va notato che un errore di configurazione separato ha impedito il corretto funzionamento del processo automatico di pulizia dei dati tra settembre 2025 e aprile 2026, lasciando archiviati più a lungo del previsto alcuni record storici. SafePal ha precisato che questo malfunzionamento non è la causa dell’accesso non autorizzato, ma ha comunque contribuito ad ampliare la mole di informazioni potenzialmente esposte.
Per validare la correzione applicata e condurre una revisione più ampia dei sistemi di elaborazione ordini, SafePal ha annunciato l’ingresso di una società di sicurezza indipendente incaricata di verificare l’efficacia delle misure adottate.
Un problema che riguarda tutto il settore dei wallet hardware
La vicenda SafePal non è un caso isolato nel comparto dei wallet fisici per crypto. Pochi giorni prima, un’altra violazione aveva colpito ShipMonk, partner logistico di Trezor, esponendo i dati di quasi 14mila clienti: per 11.742 persone erano finiti allo scoperto nome, telefono e indirizzo completo di spedizione, mentre altre 1.947 avevano visto compromessi nome, città ed email. A gennaio era stato Ledger a notificare alcuni clienti di un’esposizione di dati avvenuta attraverso Global-e, il fornitore terzo che gestiva parte degli acquisti sul suo sito.
In tutti questi episodi, le aziende coinvolte hanno sottolineato che i wallet e le chiavi private sono rimasti al sicuro. È un dettaglio che conta: il problema non riguarda la sicurezza crittografica dei dispositivi, ma la superficie d’attacco creata da plugin, fornitori terzi e sistemi di e-commerce collegati a chi vende hardware per la custodia di crypto. Proprio perché i possessori di wallet hardware rappresentano un bersaglio ad alto valore, ogni fuga di dati anagrafici si traduce quasi automaticamente in una campagna di phishing mirata, spesso più efficace di un attacco generico perché costruita su informazioni reali e verificabili.
SafePal, replicando a un analista che aveva accostato pubblicamente il proprio caso a quello di Trezor, ha definito la coincidenza temporale delle due divulgazioni “sfortunata e fuori dal proprio controllo”. Resta il fatto che il settore dei wallet hardware, spesso percepito come il porto più sicuro per la custodia di crypto rispetto agli exchange centralizzati, si trova ora a dover rispondere a una domanda scomoda: quanto sono davvero blindate le infrastrutture commerciali e logistiche che circondano un prodotto pensato, prima di tutto, per la sicurezza.
FAQ
Cosa ha causato la violazione dati SafePal?
Una falla di autorizzazione nel plugin di tracciamento ordini di SafePal ha permesso un accesso non autorizzato alle informazioni sugli ordini di altri clienti.
Quali tipi di dati dei clienti sono stati esposti nella violazione?
I dati esposti includono nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e dettagli degli acquisti effettuati.
Le credenziali del wallet, come seed phrase o chiavi private, sono state compromesse?
No, SafePal ha confermato che seed phrase, chiavi private e password del wallet non sono state esposte, e non ci sono prove che wallet o fondi siano stati compromessi.
Quali misure ha adottato SafePal per proteggere i clienti coinvolti?
SafePal ha rimosso oltre 30 siti web di phishing, ha ridotto la conservazione dei dati a 90 giorni, ha avvisato individualmente i clienti coinvolti e ha incaricato una società di sicurezza indipendente di verificare la correzione applicata.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
