SafePal bevestigt datalek bij 40.000 klanten

Cryptowallet-fabrikant SafePal heeft zondag bevestigd dat onbevoegden persoonlijke gegevens hebben ingezien van ongeveer 40.000 klanten. Volgens het bedrijf zijn daarbij geen seed phrases, privésleutels, bankgegevens, betaalkaartnummers of overheidsidentificatie blootgesteld.

Wat is er gelekt

SafePal herleidde het lek tot de bestel-trackingfunctie van een plug-in die gekoppeld is aan klantorderinformatie. Namen, e-mailadressen, verzendadressen, telefoonnummers en aankoopgegevens zijn zonder toestemming van buitenaf ingezien, meldde het bedrijf in een blogpost. SafePal waarschuwde dat dit soort informatie voldoende is om gerichte phishing- en identiteitsfraude mee op te zetten, omdat aanvallers echte orderdetails kunnen gebruiken om betrouwbaar over te komen.

Binance-oprichter Changpeng Zhao herhaalde de waarschuwing op social media en riep gebruikers op alert te zijn op phishingpogingen. Hij maakte daarbij bekend dat SafePal onderdeel is van de portefeuille van YZi Labs, waarin hij zelf een minderheidsbelang aanhoudt.

Reactie van het bedrijf

SafePal zegt de onderliggende kwetsbaarheid te hebben verholpen en heeft niet nader gespecificeerde extra beveiligingsmaatregelen genomen. Het bedrijf schakelt een onafhankelijk extern beveiligingsbureau in om de oplossing te controleren en de bestelverwerkingssystemen breder door te lichten. Ook is de bewaartermijn voor persoonlijke klantgegevens teruggebracht naar 90 dagen, met inachtneming van wettelijke verplichtingen. SafePal stelt daarnaast elke getroffen klant persoonlijk per e-mail te hebben geïnformeerd.

Een patroon bij hardware wallets

SafePal is de tweede aanbieder van hardware wallets die de afgelopen weken een beveiligingsincident meldt. Eerder deze maand werd via Coldcard hardware wallets ongeveer 1.404 bitcoin buitgemaakt, destijds ongeveer 89 miljoen dollar waard. Coldcard reageerde door alle verzendingen stil te leggen en voorraad met de besmette firmware te vernietigen.

Hardware wallets bewaren privésleutels van cryptocurrency offline, juist om ze buiten bereik van malware en online diefstal te houden. Bij SafePal zijn die offline sleutels niet geraakt. Toch laat het incident zien dat de softwarelaag rond een wallet, bestelsystemen, plug-ins, klantendatabases, gebruikers alsnog aan fraude kan blootstellen, ook als de kernopslag zelf standhoudt.

SafePal heeft geen financiële schatting van het incident gegeven en ook niet bekendgemaakt wie erachter zit. Ook is nog onduidelijk of hetzelfde lek in de bestel-trackingfunctie ook andere productlijnen raakt dan de plug-in die in de bekendmaking wordt genoemd.