Am 16. August veröffentlichte die von Binance investierte Hardware-Wallet-Firma SafePal auf X eine Erklärung. Darin bestätigte sie den Sicherheitsvorfall und gab an, dass Informationen von nahezu 40.000 Nutzern gestohlen wurden.
Obwohl Seed-Phrasen, private Schlüssel und Wallet-Passwörter laut SafePal in Ordnung seien, wurden dennoch alle Lieferinformationen, die Nutzer beim Kauf eines Hardware-Wallets angegeben haben – also Namen, E-Mail-Adressen, Lieferadressen und Telefonnummern – vollständig ausgelesen.
Die Ursache für den Leak liegt in einem Drittanbieter-Plugin auf der SafePal-Website, mit dem Nutzer den Status ihrer Bestellung prüfen können: Es gab eine „Autorisierungslücke“. Eigentlich sollten Nutzer durch Eingabe der Bestellnummer nur ihre eigenen Kaufunterlagen abfragen können – doch jemand hat herausgefunden, dass man durch beliebiges Ändern eines Parameters die Lieferadresse und Telefonnummer anderer sehen kann.
SafePal sagt, man habe „erst kürzlich die grundlegende Ursache herausgefunden“. Tatsächlich gab es jedoch bereits im Juli Meldungen von Nutzern, die online berichteten, dass sie Betrugsanrufe erhalten hätten – mit Kenntnis von ihrem Namen und ihrer Adresse.
Das bedeutet: Die Nutzerdaten von SafePal waren online für mehr als einen Monat vermutlich ungeschützt zugänglich („nacktes Surfen“).
In diesem Jahr häufen sich Sicherheitsvorfälle in der Kryptoindustrie. Neben dem, woran sich alle längst gewöhnt haben – dass DeFi ausgeraubt wird – kommt auch das angeblich sicherste Hardware-Wallet immer wieder in die Schlagzeilen.
Der globale Marktführer für Hardware-Wallets Ledger hat im Januar dieses Jahres Probleme bei einer Zahlungspartnerschaft mit Global-e gemeldet. Dabei wurden bei einer Reihe von Kunden Namen und Kontaktdaten geleakt.
Obwohl dieser Vorfall, ähnlich wie bei SafePal, keine Wallet-Kernnachweise betrifft – also weder Seed-Phrasen noch private Schlüssel –, hat frühere Datenschutz-Leaks bei Ledger bereits zu einem „Schraubenschlüssel-Angriff“ geführt. Sogar der Mitgründer von Ledger selbst wurde im Jahr 2025 zum Opfer.
Am 30. Juli dieses Jahres wurde die kanadische Hardware-Wallet-Firma Coldcard ausgeraubt, die sich als „auf kryptografischer Ebene absolut vertrauenswürdig“ bezeichnet.
Der Angreifer nutzte eine Firmware-Lücke, die bereits seit März 2021 existierte und fünf Jahre lang unentdeckt blieb. Dabei stellte sich heraus, dass Coldcard bei bestimmten Geräten bei der Erstellung von Seed-Phrasen nicht genug Zufälligkeit einhielt. So sank die Schlüsselstärke von 128 Bit auf mindestens 40 Bit, wodurch die Schlüssel per Bruteforce durch Hacker knackbar wurden.
Die Hacker gingen ab dem 30. Juli in vier Wellen vor. Innerhalb von 41 Minuten stahlen sie aus 1196 Adressen rund 70 Millionen US-Dollar; am Ende belief sich der Schaden auf über 130 Millionen US-Dollar. Betroffen waren mehr als 5200 Adressen – damit wurde es bis heute zum drittgrößten Raubüberfall auf Kryptowährungen im Jahr 2026.
Bei dem jetzigen Leak handelt es sich bei SafePal um ein Wallet, das von Binance investiert wurde und auch ein Hardware-Wallet-Projekt war, das auf Binance Launchpad gelistet wurde. Es gehört damit zur „Binance-Seite“ bzw. zu neuen Kräften aus dem Binance-Umfeld.
Man wirbt damit, dass man die Handelsliquidität von Binance und die Ein- und Auszahlungen in Fiat direkt in die Wallet-App übertragen kann. Dazu wird der Einstiegspreis auf unter 50 US-Dollar gedrückt – und das hat viele Krypto-Investoren angezogen.
Obwohl SafePal auf der Ebene „Offline-Signaturen“ bis zum Maximum auf Sicherheit setzt, verwendet es in der Schicht „E-Commerce-Bestellungen“ einen durchschnittlichen Schutzstandard der Branche.
Jetzt wissen auch die Hacker das: Sie gehen nicht an die fest verschlüsselte Firmware mit ihren harten Zielen, sondern greifen gezielt eine schwächere Stelle wie das Bestellsystem an. Wenn sie erst einmal Informationen wie Namen, Adressen und Telefonnummern haben, können sie sie für den nächsten Schritt nutzen: gezieltes Phishing, das Vorspielen als Kundenservice – sogar für den Offline-„Schraubenschlüssel-Angriff“ (threaten = dich mit Gewalt zwingen, den privaten Schlüssel herauszugeben).
Selbst wenn diese Daten nicht von Kriminellen ins Visier genommen werden: Wenn sie von „Onkel mit dem Hut“ oder den Steuerbehörden in die Hände geraten, ist das ebenfalls nicht gut.