Cryptowalletaanbieder SafePal heeft een datalek bekendgemaakt waarbij 39.798 klanten zijn getroffen. Namen, contactgegevens, bezorgadressen en informatie over aankopen zijn daarbij blootgesteld.
Het datalek werd veroorzaakt door een fout in de toegangscontrole van een plug-in die werd gebruikt voor het ordertrackingsysteem van SafePal. Onder bepaalde omstandigheden konden onbevoegden door deze kwetsbaarheid toegang krijgen tot de bestelgegevens van andere klanten.
Het gaat om gegevens van klanten die tussen 2 maart 2025 en 11 april 2026 een bestelling hebben geplaatst.
Welke gegevens zijn gelekt?
Volgens SafePal gaat het om de volgende gegevens:
- Namen
- E-mailadressen
- Telefoonnummers
- Bezorgadressen
- Aankoop- en bestelgegevens
Belangrijk is dat volgens SafePal geen seed phrases, privésleutels, walletwachtwoorden, betaalkaart– of bankrekeninggegevens of identificatienummers van officiële identiteitsdocumenten zijn gelekt. Het bedrijf zegt geen aanwijzingen te hebben gevonden dat aanvallers toegang hebben gekregen tot de cryptowallets of het cryptogeld van klanten.
Phishingaanvallen al ontdekt
De combinatie van contactgegevens, adresgegevens en aankoopinformatie brengt een extra risico met zich mee voor SafePal-klanten. Aanvallers kunnen kennis over iemands SafePal-aankoop gebruiken om phishingberichten, neptelefoontjes van de klantenservice, verzoeken om firmware-updates of zelfs fysieke post geloofwaardig te laten lijken.
SafePal zegt inmiddels meer dan 30 frauduleuze websites en phishinglinks te hebben ontdekt en offline te hebben laten halen die verband houden met oplichtingspraktijken rond het incident.
De kwetsbaarheid is inmiddels verholpen en SafePal schakelt een onafhankelijk beveiligingsbedrijf in om zijn systemen te controleren. Ook heeft het bedrijf de bewaartermijn voor persoonsgegevens in het getroffen orderverwerkingssysteem teruggebracht tot 90 dagen.
Alle geïdentificeerde getroffen klanten zijn op 16 augustus rechtstreeks per e-mail geïnformeerd. SafePal benadrukt dat het klanten nooit zal vragen om hun seed phrase, privésleutel of walletwachtwoord door te geven.
