La violazione di SafePal rivela gli indirizzi ma non le criptovalute, il che potrebbe essere il problema più grande.

      SafePal, il produttore di portafogli hardware e software per criptovalute sostenuto da Binance, ha rivelato una violazione dei dati che ha colpito circa 39.798 clienti, tutti i quali hanno effettuato ordini tra il 2 marzo 2025 e l'11 aprile 2026.

      I record esposti riguardano informazioni sugli ordini, ovvero nomi, indirizzi fisici e dettagli di contatto. È il tipo di fuga di dati che sembra quasi antiquato rispetto ai furti più grandi dell'anno, come quando ShinyHunters ha pubblicato 45 GB di dati del Madison Square Garden, fino a quando non si considera chi sono i clienti.

      Per prima cosa, la parte rassicurante. SafePal è fermamente convinta che nessun fondo di criptovaluta sia stato toccato e che password, chiavi private, frasi seed, dettagli bancari, numeri di carte di pagamento e documenti d'identità rilasciati dal governo siano rimasti al sicuro.

      La sicurezza del portafoglio ha retto e gli asset digitali degli utenti non sono mai stati compromessi. Per un'azienda il cui intero messaggio è la custodia sicura, questa distinzione è enormemente importante ed è la linea che l'azienda sarà più ansiosa di ripetere.

      La causa è stata banale, come di solito accade in questi casi. SafePal attribuisce la colpa a un "difetto di autorizzazione" in un plug-in di terze parti utilizzato per il tracciamento degli ordini, che ha permesso agli attaccanti di visualizzare i dettagli degli ordini di altri clienti semplicemente manipolando i numeri degli ordini.

      Si tratta di un bug di riferimento diretto a oggetti insicuro, il tipo di problema che dovrebbe essere individuato in una revisione della sicurezza del primo anno, che si trova tranquillamente in uno strumento aggiuntivo.

      SafePal afferma di aver corretto immediatamente il difetto e da allora ha inviato email agli utenti interessati da [email protected].

      Ha anche assunto un revisore indipendente di terze parti, ridotto il suo periodo di conservazione dei dati a 90 giorni, identificato e rimosso più di 30 siti web fraudolenti e link di phishing, e fornito ai clienti uno strumento per verificare se i propri dettagli fossero coinvolti nella fuga.

      Come risposte a violazioni vanno, è un elenco ordinato e notevolmente più rapido rispetto ai soliti tentativi aziendali di giustificarsi che queste rivelazioni comportano.

      Tuttavia, ecco la verità scomoda. Questa è una violazione nel mondo delle criptovalute che ha risparmiato le criptovalute e ha rivelato gli indirizzi, e per questa particolare base di clienti potrebbe essere la perdita più pericolosa. Uno sconosciuto non può svuotare il tuo portafoglio con il tuo indirizzo postale, ma può fare molte altre cose con esso.

      Il rischio immediato è quello familiare. Chiunque detenga nomi e dettagli di contatto di quasi 40.000 proprietari di criptovalute autoidentificati ha un elenco pronto per phishing mirato e impersonificazione, e le email sembreranno convincenti proprio perché il mittente sa cosa hai comprato e dove è stato spedito.

      Questa è la stessa economia di ingegneria sociale che mantiene in attività gruppi come quello dietro il ransomware Ryuk, che ha fruttato ai suoi operatori 3,7 milioni di dollari in Bitcoin.

      Il rischio meno familiare è fisico ed è più brutto. Per le persone note per detenere criptovalute, un nome trapelato abbinato a un indirizzo di casa solleva lo spettro del cosiddetto "attacco con chiave inglese", il termine cupo per costringere qualcuno a consegnare le proprie chiavi di persona.

      Poiché le transazioni in criptovaluta sono irreversibili e difficili da tracciare, l'incentivo a presentarsi semplicemente alla porta è reale. I rapporti di detentori di criptovalute che vengono presi di mira, derubati e peggio sono aumentati costantemente, e un elenco ordinato di proprietari confermati con indirizzi di consegna è esattamente la cosa sbagliata da perdere.

      L'altra lezione è prevedibile e stancante. Il punto debole non era il caveau di SafePal, ma un plug-in di terze parti aggiunto al suo negozio, un modello che è diventato la forma definente delle moderne fughe di dati. È la stessa storia che ha recentemente colto di sorpresa il gigante dei cosmetici Estée Lauder attraverso un difetto di Oracle E-Business: il sistema centrale regge, l'accessorio no.

      SafePal merita un certo credito per una risposta rapida e insolitamente franca, e per aver costruito un prodotto in cui una violazione del negozio ha lasciato i portafogli intatti. Tuttavia, l'episodio è un promemoria che nel mondo delle criptovalute, la privacy non è una caratteristica secondaria aggiunta accanto alla sicurezza. Per un cliente il cui nome e indirizzo stanno ora circolando nel mercato aperto, e che non può correggere, ruotare o riemettere dove vive, è la sicurezza.