Em 16 de agosto, a SafePal, uma empresa de carteiras de hardware que recebeu investimento da Binance, publicou um comunicado no X reconhecendo um incidente de segurança, no qual informações de quase quarenta mil usuários foram roubadas.
Embora a SafePal diga que as informações principais — como frase-semente (seed phrase), chave privada e senha da carteira — estão intactas, os dados de entrega fornecidos pelos usuários ao comprar a carteira de hardware, como nome, e-mail, endereço de entrega e número de telefone, foram todos comprometidos.
O motivo da violação foi um plug-in de terceiros no site da SafePal que permite aos usuários consultar o andamento do pedido. Havia uma "brecha de autorização": originalmente, quando o usuário inseria o número do pedido, ele só conseguia consultar o próprio registro de compra; mas alguém descobriu que, bastava alterar um parâmetro, e então era possível ver o endereço de entrega e o telefone de outras pessoas.
O SafePal disse que foi “descobrir a causa fundamental recentemente”, mas, na verdade, já em julho usuários relataram online que receberam ligações de golpes com pessoas que sabiam nome e endereço deles.
Ou seja, os dados dos usuários do SafePal podem ter ficado “expostos na rede” por mais de um mês.
Neste ano, eventos de segurança no setor de criptografia têm acontecido com frequência; além dos roubos em DeFi, com que todo mundo já está acostumado, até a carteira de hardware “mais segura” tem enfrentado problemas repetidamente.
A principal carteira de hardware do mundo, a Ledger, teve um problema em janeiro deste ano ao pagar um parceiro de serviços, a Global-e, causando o vazamento de nomes e contatos de uma leva de clientes.
Embora este incidente, assim como o SafePal, não envolva credenciais centrais de uma carteira como frases-semente (seed), chaves privadas (private keys) etc., historicamente o vazamento de privacidade dos usuários da Ledger já levou a um “ataque com chave de fenda” (“brute forcing”/“扳手攻击”), e até o cofundador da Ledger se tornou vítima em 2025.
Em 30 de julho deste ano, a empresa canadense de carteira de hardware Coldcard, que se dizia "absolutamente confiável no nível da criptografia", foi roubada.
O autor do ataque explorou uma vulnerabilidade de firmware que existia desde março de 2021 e ficou em estado latente por 5 anos. Ao descobrir que alguns dispositivos da Coldcard não geravam frases-semente com aleatoriedade suficiente, a força da chave caiu de 128 bits para, no mínimo, 40 bits, permitindo que hackers quebrassem a chave por força bruta.
Os hackers começaram a agir em 30 de julho em quatro ondas: em 41 minutos, roubaram cerca de 70 milhões de dólares a partir de 1196 endereços; no fim, o prejuízo totalizou mais de 130 milhões de dólares. O incidente atingiu mais de 5200 endereços, tornando-se o terceiro maior caso de roubo de criptomoedas até agora em 2026.
A informação de usuários vazada desta vez, do SafePal, é de um projeto de carteira de hardware que foi investido pela Binance e que já chegou a ser lançado na Binance Launchpad; trata-se de uma nova força ligada à Binance.
Segundo a promessa, seria possível levar diretamente para o app da carteira a liquidez das transações da Binance e os canais de entrada e saída de moeda fiduciária; além disso, com um preço de entrada abaixo de US$ 50, ganhou bastante interesse de investidores em cripto.
Embora o SafePal tenha levado a segurança ao extremo na camada de “assinatura offline”, ele usa, na camada de “pedidos de e-commerce”, uma proteção no padrão médio da indústria.
Agora, os hackers também sabem disso muito bem: em vez de atacar essa parte difícil (a criptografia do firmware), eles miram pontos fracos como sistemas de pedidos. Com informações como nome, endereço e telefone, podem então avançar para: phishing altamente direcionado, se passar por atendimento ao cliente e até “ataque com chave de fenda” (ameaçar usar violência para forçar você a entregar a chave privada).
Mesmo que não tenham sido alvos de criminosos, ter essas informações em mãos por “tios do boné” (autoridades) ou órgãos fiscais também não é uma boa ideia.