Des escrocs envoient de fausses lettres SafePal au domicile de clients italiens, en utilisant des noms, des adresses et des détails de commande divulgués lors d’une fuite de données qui a exposé les informations de près de 40 000 acheteurs des portefeuilles matériels de cryptomonnaies de l’entreprise.
SafePal affirme que ses portefeuilles restent sécurisés. Les lettres visent plutôt leurs propriétaires. Quiconque saisit la phrase de récupération d’un portefeuille — les mots de sauvegarde qui permettent de le reconstituer sur n’importe quel appareil — sur un faux site cède toutes les cryptomonnaies qu’il contient.
Comment fonctionnent les fausses lettres SafePal
Les lettres affirment que le portefeuille du destinataire présente une faille dans son micrologiciel, c’est-à-dire un problème dans le logiciel intégré à l’appareil.
Les clients italiens de @SafePal reçoivent des lettres papier très crédibles, avec leurs informations exactes et un lien personnalisé. Il s’agit d’une tentative d’hameçonnage. Voici les détails : https://t.co/YzHzcLU4OQ
— Criptovaluta.it (@CriptovalutaI) 12 novembre 2026
Un code QR ouvre un faux site SafePal hébergé sur Arweave, un réseau conçu pour stocker des fichiers de façon permanente. La lettre et le site affichent le vrai nom, l’adresse et les détails de commande du client.
SafePal a confirmé l’arnaque sur X jeudi et l’a liée à l’incident de données survenu en août.
« Ces lettres ne viennent PAS de SafePal, et l’infrastructure des portefeuilles reste sécurisée. SafePal n’enverra jamais de lettres papier et ne demandera jamais de phrase de récupération », a confirmé l’équipe.
L’entreprise a demandé aux destinataires de signaler les lettres sur sa page de protection contre les arnaques, en laissant le code QR visible afin que le site puisse être fermé.
Pourquoi les adresses personnelles divulguées continuent de profiter aux escrocs
SafePal a révélé le 16 août qu’une faille dans un plug-in de suivi des commandes avait exposé les commandes passées par 39 798 clients entre mars 2025 et avril 2026.
Les noms, adresses e-mail, adresses postales, numéros de téléphone et détails des achats ont été divulgués. Les phrases de récupération, les clés privées et les numéros de carte, eux, ne l’ont pas été, selon l’entreprise.
BeInCrypto avait averti à l’époque que la fuite chez SafePal avait exposé des adresses postales, qui ne deviennent pas caduques.
Les clients de Ledger ont déjà connu cette situation. La fuite de 2020 avait révélé les adresses postales d’environ 272 000 utilisateurs, et de fausses lettres Ledger ont été envoyées en 2025.
Le partenaire d’expédition de Trezor a divulgué 13 689 dossiers de clients en août. Ni Trezor ni SafePal n’ont signalé de faille touchant les portefeuilles eux-mêmes.