Penipu mengirimkan surat SafePal palsu ke rumah pelanggan di Italia, dengan menggunakan nama, alamat, dan detail pesanan yang bocor dalam insiden kebocoran data yang mengekspos hampir 40.000 pembeli dompet perangkat keras kripto perusahaan tersebut.

SafePal menyatakan bahwa dompetnya tetap aman. Sebaliknya, surat-surat itu menargetkan pemiliknya. Siapa pun yang memasukkan frasa pemulihan dompet—kata-kata cadangan untuk memulihkan dompet di perangkat apa pun—ke situs palsu akan menyerahkan semua koin yang tersimpan di dalamnya.

Cara Kerja Surat SafePal Palsu

Surat tersebut mengklaim bahwa dompet penerima memiliki celah pada firmware, yaitu masalah pada perangkat lunak yang terpasang di dalam perangkat.

Pelanggan @SafePal di Italia menerima surat fisik yang sangat meyakinkan, dengan data yang benar dan tautan yang dipersonalisasi. Ini adalah upaya phishing. Detailnya di sini: https://t.co/YzHzcLU4OQ

— Criptovaluta.it (@CriptovalutaI) 12 November 2026

Kode QR membuka situs SafePal palsu yang dihosting di Arweave, jaringan yang dirancang untuk menyimpan berkas secara permanen. Baik surat maupun situs tersebut menampilkan nama asli, alamat, dan detail pesanan pelanggan.

SafePal mengonfirmasi penipuan tersebut di X pada hari Kamis dan mengaitkannya dengan insiden data pada bulan Agustus.

“Surat-surat ini BUKAN dari SafePal, dan infrastruktur dompet tetap aman. SafePal tidak akan pernah mengirim surat fisik atau meminta frasa pemulihan,” konfirmasi tim tersebut.

SafePal meminta penerima melaporkan surat tersebut melalui halaman perlindungan dari penipuan, dengan menyertakan kode QR agar situsnya dapat ditutup.

Mengapa Alamat Rumah yang Bocor Terus Menguntungkan Penipu

Pada 16 Agustus, SafePal mengungkapkan bahwa sebuah celah pada plugin pelacakan pesanan mengekspos pesanan yang dibuat oleh 39.798 pelanggan antara Maret 2025 dan April 2026.

Nama, alamat email, alamat rumah, nomor telepon, dan detail pembelian bocor. Frasa pemulihan, kunci privat, dan nomor kartu tidak bocor, menurut perusahaan.

Saat itu, BeInCrypto memperingatkan bahwa kebocoran data SafePal mengekspos alamat rumah, yang tidak kedaluwarsa.

Pelanggan Ledger pernah mengalami hal serupa. Kebocoran data pada 2020 mengekspos alamat surat-menyurat sekitar 272.000 pengguna, dan surat Ledger palsu mulai berdatangan pada 2025.

Mitra pengiriman Trezor membocorkan 13.689 data pelanggan pada bulan Agustus. Baik Trezor maupun SafePal tidak melaporkan adanya kebocoran pada dompet itu sendiri.