Der Wallet-Anbieter SafePal hat ein Datenleck bestätigt, durch das Name, Anschrift und Bestellungen von 39.798 Kunden nach außen gelangt sind. Seed Phrases, Private Keys und Guthaben sind nach Darstellung des Unternehmens nicht betroffen. Es ist der dritte schwere Zwischenfall innerhalb von drei Wochen. In allen drei Fällen waren Anbieter von Hardware Wallets betroffen.
SafePal machte den Vorfall am Sonntag, dem 16. August 2026, öffentlich. Ursache war ein Berechtigungsfehler in der Bestellverfolgung eines Plug-ins, das mit Bestelldaten arbeitet. Unter bestimmten Bedingungen konnten Unbefugte darüber die Bestelldaten fremder Kunden einsehen. Betroffen sind alle Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026. Abgeflossen sind Name, E-Mail-Adresse, Lieferanschrift, Telefonnummer und Angaben zum gekauften Produkt.
Wie es zum SafePal Datenleck kam
Technisch handelt es sich um einen Fehler in der Zugriffskontrolle. Die Bestellverfolgung prüfte nicht zuverlässig, ob die anfragende Person auch zu der abgefragten Bestellung gehört. Wer einfach die Bestellnummer veränderte, bekam fremde Datensätze angezeigt. IT-Sicherheitsforscher nennen diese Schwachstelle Insecure Direct Object Reference. Sie zählt seit Jahren zu den häufigsten Schwächen in Webshops und ist ohne besondere Vorkenntnisse ausnutzbar.
SafePal schreibt, die Lücke sei nach der Entdeckung geschlossen und um zusätzliche Schutzmaßnahmen ergänzt worden. Wann genau das Unternehmen den Fehler bemerkt hat, wie lange die Daten abrufbar waren und wie viele Abrufe stattgefunden haben, geht aus der Mitteilung nicht hervor. SafePal nennt auch den Anbieter des Plug-ins nicht. Einzelne Medienberichte beschreiben die fragliche Software als Drittanbieter-Komponente, bestätigt ist das jedoch bislang nicht. Hinter SafePal steht ein von Binance Labs finanziertes Unternehmen, das neben Hardware Wallets auch Mobile- und Browser-Wallets anbietet.
Was betroffene Kunden jetzt beachten sollten
Die betroffenen Kunden wurden bereits per E-Mail vom Unternehmen kontaktiert. Weil solche Vorfälle gerne für Phishing missbraucht werden, sollten Kunden von SafePal Absender und Betreff der E-Mails genau prüfen. Wer unsicher ist, kann zudem den eigenen Status über eine Prüfseite mit Bestellnummer und Lieferland abfragen.
Ein Transfer von Kryptos ist laut SafePal nicht erforderlich, weil weder Seed-Phrasen noch Private Keys oder Wallet-Passwörter in dem betroffenen System lagen. Die eigentliche Gefahr liegt für Betroffene dauerhaft im Phishing. Denn mit Name, Adresse, Telefonnummer und dem Wissen, welches Gerät wann bestellt wurde, lassen sich sehr überzeugende Fake-Nachrichten bauen, per Mail, per Anruf, per SMS und auch per Brief. SafePal hat nach eigenen Angaben bereits mehr als 30 betrügerische Websites und Phishing-Links abschalten lassen und warnt vor Domains, bei denen das kleine L im Markennamen durch ein großes i ersetzt wird. Das Unternehmen betont, niemals nach Seed Phrase, Private Key oder Passwort zu fragen.
Coldcard, Trezor und SafePal binnen drei Wochen
Der Vorfall steht nicht allein. Seit Ende Juli hat die Hardware-Wallet-Branche drei sehr unterschiedliche Vorfälle erlebt, jeder einzelne davon darf getrost als katastrophal bezeichnet werden.
Am 30. Juli begannen Angreifer, Bitcoin von Coldcard-Geräten des Herstellers Coinkite abzuräumen. Ursache war ein Fehler in einem Firmware-Build aus dem März 2021. Statt des eingebauten Hardware-Zufallsgenerators nutzten die Geräte still den Pseudozufallsgenerator von MicroPython, gespeist aus der Geräte-UID und dem Timer-Wert beim Einschalten. Bei den Modellen Mk2 und Mk3 sank die effektive Entropie damit auf rund 40 Bit, weshalb der Angreifer die Seeds rekonstruieren konnte. TRM Labs beziffert den Schaden auf 1.816 BTC oder etwa 116 Millionen US-Dollar aus mehr als 5.200 Adressen und stuft den Fall als drittgrößten Krypto-Hack des Jahres 2026 ein. Galaxy Research kommt auf abweichende Werte, TechCrunch berichtete unter Berufung auf Blockchain-Analysten von mehr als 130 Millionen US-Dollar. Die Schätzungen gehen also auseinander. Entscheidend für Betroffene ist, dass ein Firmware-Update bestehende Seeds nicht repariert. Wer zwischen März 2021 und dem Patch einen Seed auf einem Coldcard erzeugt hat, muss umziehen.
Zwei Wochen später traf es Trezor. Am 10. August meldete der Logistikpartner ShipMonk dem Prager Unternehmen einen unbefugten Zugriff auf Systeme mit Bestelldaten, am 13. August machte Trezor den Vorfall öffentlich. Vollständig offengelegt wurden Name, E-Mail-Adresse, Telefonnummer und Lieferanschrift von 11.742 Kunden, weitere 1.947 Personen sind mit Name, Stadt und E-Mail-Adresse betroffen. Der Kreis umfasst Bestellungen aus den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal zwischen dem 10. Mai und dem 8. August 2026. Deutschland taucht in dieser Länderliste nicht auf. Trezor betont, dass die eigenen Systeme und die Geräte unberührt blieben. Bemerkenswert ist ein Detail am Rande, denn ShipMonk verfügt über eine SOC-2-Type-II-Zertifizierung und wurde trotzdem kompromittiert.
Beide Datenlecks haben einen Vorläufer. Anfang Januar 2026 gelangten über den E-Commerce-Dienstleister Global-e Bestelldaten von Ledger-Kunden nach außen. Wenige Tage später kursierten Phishing-Mails, die eine angebliche Fusion von Ledger und Trezor ankündigten und mit echten Bestelldetails garniert waren.
Warum Adressdaten in der Krypto-Branche besonders heikel sind
Ein geleakter Kundendatensatz ist in den meisten Branchen ärgerlich. Hier ist er etwas anderes, nämlich eine verifizierte Liste von Menschen, die nachweislich ein Hardware Wallet besitzen, inklusive der Adresse, an die es geliefert wurde.
CertiK zählte für das erste Halbjahr 2026 52 sogenannter Wrench-Angriffe, also Fälle, in denen Opfer mit Gewalt oder Drohungen zur Herausgabe von Schlüsseln oder zu Transfers gezwungen wurden. Das sind ein Drittel mehr als die 39 Fälle im Vorjahreszeitraum. Die erfasste finanzielle Größenordnung stieg von 10,5 Millionen auf 124,1 Millionen US-Dollar. CertiK weist ausdrücklich darauf hin, dass darin auch Lösegeldforderungen sowie eingefrorene und zurückgeholte Vermögenswerte stecken, es handelt sich also nicht um bestätigte Beute. Auffällig ist die Verschiebung der Methode. Wohnungseinbrüche stiegen von einem dokumentierten Fall auf 20 und sind damit die häufigste Vorgehensweise. Europa steht für 39 der 52 Fälle, allein auf Frankreich entfallen 33. Der spektakulärste Fall war dabei die Entführung einer der Gründer der Firma Ledger, der von einer französischen Spezialeinheit befreit wurde.
