SafePal filtró datos de casi 40.000 usuarios de su wallet
La empresa confirmó que atacantes accedieron a nombres, direcciones y contactos de clientes por una falla en el sistema de seguimiento de pedidos, aunque las claves privadas no se vieron comprometidas.
SafePal, la empresa que fabrica billeteras físicas y aplicaciones para guardar criptomonedas, confirmó el domingo 16 de agosto de 2026 que sufrió una filtración de datos que expuso la información personal de 39.798 clientes. Los datos comprometidos incluyen nombres, direcciones postales, correos electrónicos, números de teléfono y detalles de compra de quienes hicieron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026.
La compañía explicó que el problema estuvo en un plugin usado para rastrear pedidos, que tenía una falla de autorización: bastaba con cambiar el número de un pedido para ver los datos de entrega de otro cliente, algo parecido a que cualquiera pudiera leer el comprobante de otra persona con solo cambiar un número en el sistema.
SafePal aclaró que la brecha no afectó las frases semilla (la clave maestra que permite recuperar una billetera), las claves privadas, las contraseñas, los datos bancarios ni los documentos de identidad de los usuarios: esa información nunca la pide ni la almacena. Según la empresa, no hay evidencia de que el incidente haya dado acceso a fondos o billeteras.
El boletín de Onda Corta
Qué hizo la empresa
SafePal dijo que ya corrigió la falla y sumó medidas de seguridad adicionales. También contrató a una firma externa para auditar la solución y revisar todo el sistema de procesamiento de pedidos. A partir de ahora, los datos personales de los pedidos se van a conservar solo 90 días desde que se recolectan, en lugar de guardarse por tiempo indefinido.
La empresa notificó a cada cliente afectado por correo desde la dirección security@safepal.com, con el asunto "[Important] Your SafePal Order Information Has Been Affected". Además, identificó y dio de baja más de 30 sitios web y enlaces de phishing armados a partir de la filtración, y habilitó una herramienta en su sitio para que cualquier usuario chequee si sus datos quedaron expuestos.
El riesgo real: phishing e impersonación
Aunque ninguna cripto está en peligro directo, SafePal advirtió que los clientes expuestos son un blanco más fácil para intentos de phishing (correos o mensajes que imitan a una empresa real para robar datos) e impersonación: con nombre, dirección y teléfono en mano, un atacante puede armar un correo, una llamada o hasta una carta física que parezca oficial y pedir la frase semilla con el pretexto de "verificar" la cuenta. La empresa recomendó no compartir nunca esa frase ni la clave privada por ningún canal, no hacer clic en links de mensajes no solicitados y escribir la dirección de SafePal a mano en el navegador en lugar de seguir enlaces, ya que detectó sitios falsos que imitan su dominio real reemplazando la letra "l" minúscula por una "I" mayúscula.
El caso se suma a otro incidente reciente en el sector: un ataque a billeteras físicas Coldcard permitió robar al menos US$ 120 millones en bitcoin. Ninguno de los dos casos muestra una falla estructural en las billeteras de hardware como categoría, pero sí confirma que ningún método de resguardo de criptomonedas está completamente libre de riesgo, sobre todo cuando el punto débil no es el dispositivo sino los sistemas de software que lo rodean.
El boletín de Onda Corta