El 16 de agosto, la empresa de carteras de hardware SafePal, en la que invirtió Binance, publicó una declaración en X admitiendo que se trató de un incidente de seguridad. Se ha informado de que la información de casi 40.000 usuarios fue robada.
Aunque SafePal dijo que la frase mnemónica, la clave privada y la contraseña de la cartera (los datos principales) no estaban comprometidos, sí se filtraron todos los datos de envío que los usuarios proporcionaron al comprar una cartera de hardware, como su nombre, correo electrónico, dirección de entrega y número de teléfono.
La causa de la filtración fue un complemento de terceros en el sitio web de SafePal que permite a los usuarios consultar el progreso de sus pedidos. Había una "vulnerabilidad de autorización": originalmente, cuando los usuarios introducen un número de pedido, solo pueden consultar su propio historial de compras; pero alguien descubrió que, cambiando cualquier parámetro, se podían ver la dirección de entrega y el teléfono de otra persona.
SafePal afirma que "solo recientemente descubrió la causa raíz", pero en realidad ya en julio había usuarios que reportaban en internet haber recibido llamadas de estafa en las que el interlocutor sabía su nombre y dirección.
Es decir, los datos de los usuarios de SafePal podrían haber quedado expuestos en internet durante más de un mes.
Este año han ocurrido muchos incidentes de seguridad en la industria cripto. Además de los robos de DeFi, con los que todos ya están familiarizados, incluso la que presume de ser la cartera de hardware más segura ha estado fallando con frecuencia.
El principal proveedor de carteras de hardware Ledger, con sede en China, tuvo problemas en enero de este año al pagar a su socio Global-e, lo que provocó que se filtraran los nombres y datos de contacto de un grupo de clientes.
Aunque este incidente, al igual que SafePal, no involucra credenciales fundamentales de la cartera como las frases mnemónicas o claves privadas, en la historia la filtración de la privacidad de los usuarios de Ledger dio lugar a un "ataque de destornillador", e incluso el propio cofundador de Ledger se convirtió en víctima en 2025.
El 30 de julio de este año, la empresa canadiense de carteras de hardware Coldcard, que presume de ser "absolutamente confiable a nivel criptográfico", fue robada.
El atacante aprovechó una vulnerabilidad de firmware que existía desde marzo de 2021 y que llevaba 5 años sin detectarse. Descubrió que algunos dispositivos Coldcard no generaban suficiente aleatoriedad al crear frases mnemónicas: la fuerza de la clave cayó de 128 bits al mínimo de 40 bits, lo que permitió que los hackers descifraran la clave mediante fuerza bruta.
Los hackers comenzaron las acciones el 30 de julio en cuatro oleadas; en 41 minutos se llevaron alrededor de 70 millones de dólares desde 1196 direcciones. Al final, la pérdida acumulada superó los 130 millones de dólares, afectando a más de 5200 direcciones, convirtiéndose en el tercer mayor caso de robo de criptomonedas hasta la fecha en 2026.
La SafePal cuya información de usuarios se filtró en esta ocasión fue invertida por Binance y pertenece a un proyecto de carteras de hardware del ecosistema que además estuvo en Binance Launchpad; es una fuerza emergente dentro del grupo de Binance.
Se dice que puede trasladar directamente la liquidez de las operaciones de Binance y los canales de entrada/salida de fiat a la aplicación de la cartera. Además, al fijar un precio de entrada por debajo de 50 dólares, ha ganado la preferencia de muchos inversores cripto.
Aunque SafePal logra una seguridad extrema en la capa de "firmas sin conexión", en la capa de "órdenes de comercio electrónico" utiliza protecciones de nivel medio en la industria.
Ahora los hackers también lo tienen claro: no van a atacar esa parte difícil de la encriptación del firmware, sino que se enfocan en puntos débiles como el sistema de pedidos. Al obtener información como nombre, dirección y teléfono, pueden pasar al siguiente paso: phishing altamente preciso, suplantación de atención al cliente e incluso el "ataque de destornillador" fuera de casa (amenazarte con violencia para obligarte a entregar la clave privada).
Aunque no hayan sido objetivo de delincuentes, que esta información la tengan el tío policía o las autoridades fiscales tampoco es algo bueno.