Escrito por: Xiaobing
En el ámbito de la seguridad en criptografía existe una regla contraintuitiva: a veces es más peligroso saber cuánto Bitcoin tiene una persona que conocer su clave privada.
El 16 de agosto, el fabricante de carteras hardware SafePal publicó un aviso de seguridad confirmando que su complemento de consulta de pedidos tenía un defecto de autorización, lo que permitió el acceso no autorizado a los nombres, correos electrónicos, números de teléfono, direcciones de entrega y registros de compra de aproximadamente 39.798 clientes. Los afectados son clientes que realizaron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026.
SafePal enfatizó en el comunicado: No se vieron afectadas las claves privadas, frases semilla, contraseñas de cartera, números de tarjetas bancarias ni información de documentos de identidad. La arquitectura de almacenamiento en frío funciona en un entorno completamente aislado, independiente de los servidores de comercio electrónico. No hay evidencia de que las carteras o fondos de los usuarios hayan sido comprometidos directamente.
La empresa también reveló que ya había identificado y retirado más de 30 sitios web de phishing relacionados con este incidente.
Por qué una lista de la compra es más aterradora que una contraseña
Lo que los atacantes tienen ahora en sus manos: los nombres reales, números de teléfono móvil, correos electrónicos y direcciones particulares de casi 40.000 personas confirmadas como compradoras de carteras hardware de almacenamiento en frío.
El valor de estos datos es mucho mayor que la filtración de un pedido de una plataforma de comercio electrónico común. Quien compra una cartera de almacenamiento en frío casi con seguridad posee activos criptográficos, y probablemente de un valor considerable. Los usuarios dispuestos a gastar dinero en hardware especializado para custodiar sus activos generalmente no son pequeños inversores que solo poseen unos cientos de dólares.
Los atacantes no necesitan hackear ningún dispositivo. Pueden hacer cosas como:
Suplantar al servicio de atención al cliente de SafePal, enviando "notificaciones de actualización de firmware" o "notificaciones de retirada de dispositivo" que incluyan números de pedido reales y fechas de compra. Dado que la información del pedido en el correo es real, el usuario tenderá más a creer que todo el correo es legítimo.
Enviar cartas físicas o paquetes a la dirección particular del usuario, adjuntando códigos QR falsificados o "dispositivos de reemplazo". SafePal en su comunicado advierte específicamente "considerar sospechoso cualquier contacto inesperado o entrega de hardware que mencione registros de compra de SafePal", lo que sugiere que este tipo de ataques ya están ocurriendo o se prevé que ocurran.
Cruzar los datos filtrados de direcciones, teléfonos y correos con cuentas de redes sociales y direcciones en cadena (on-chain) para crear un perfil más completo del usuario. Una vez confirmado que un residente en una determinada dirección posee grandes cantidades de activos criptográficos, la intrusión física (el llamado "ataque de llave inglesa") se convierte en una opción.
El propio SafePal admite en sus FAQ que los ataques de phishing pueden presentarse en "llamadas telefónicas, correos electrónicos, mensajes de texto (SMS), cartas, ofertas de reembolso, solicitudes de actualización de firmware y comunicaciones falsas de atención al cliente". La extensión de esta lista en sí misma muestra la gravedad del problema.
Tres meses de silencio
Lo más cuestionable en este incidente es la línea temporal de la divulgación.
SafePal admite en su página de FAQ que ya en mayo recibió informes de usuarios sobre correos de phishing, pero inicialmente los trató como "incidentes aislados". No fue hasta julio que realizó una revisión exhaustiva del sistema de pedidos, y en agosto que confirmó la causa raíz y publicó el comunicado.
Desde el primer informe hasta la divulgación pública, transcurrieron aproximadamente tres meses. Durante estos tres meses, los atacantes ya estaban utilizando los datos filtrados para enviar correos de phishing, y SafePal confirma haber identificado y retirado más de 30 sitios web de phishing. Es decir, los usuarios estuvieron expuestos, sin saberlo, a ataques de ingeniería social de alta precisión durante meses.
SafePal también reveló un detalle: su procedimiento de purga de datos (data-purge routine) había dejado de funcionar debido a un error de configuración, lo que provocó que la información de pedidos antiguos, que debería haberse eliminado después de 90 días, permaneciera en el sistema. Esto significa que el volumen de datos filtrados podría ser mayor de lo normal. Datos que, según la política de privacidad, deberían haber sido destruidos, sobrevivieron debido a un bug de configuración y luego fueron filtrados.
La paradoja de seguridad de las carteras en frío
Este incidente de SafePal expone una contradicción estructural en la industria de las carteras hardware.
La propuesta de valor completa de una cartera en frío es la seguridad. Protege las claves privadas mediante aislamiento físico, haciendo que los hackers no puedan tocar los activos principales a través de ataques en línea. Esta promesa, SafePal la cumplió; lo que se filtró fue el sistema de comercio electrónico, no el sistema de la cartera.
Pero la cartera en frío debe venderse a través de canales de comercio electrónico, y estos canales requieren naturalmente recopilar información de identificación real del usuario: nombre, dirección, teléfono, para la logística de entrega. Una vez que esta información se filtra, marca con precisión "quién está custodiando grandes cantidades de activos criptográficos".
Ledger vivió un incidente casi idéntico en 2020: se filtraron los nombres, correos electrónicos, teléfonos y direcciones de unos 270.000 clientes. Después de la filtración, las víctimas reportaron una gran cantidad de correos de phishing de alta precisión y ataques de secuestro de tarjetas SIM. Algunos usuarios incluso recibieron amenazas de muerte. El CEO de Ledger se disculpó posteriormente públicamente, admitiendo fallos en las prácticas de retención de datos y seguridad de la empresa.
SafePal enfrenta ahora la repetición de la misma lección, la diferencia es solo la escala más pequeña (39.8k vs 270k), pero el guion de los atacantes es exactamente el mismo.
¿Qué deberías hacer?
SafePal en su comunicado ofrece las recomendaciones de seguridad estándar: No compartas tu frase semilla, no hagas clic en enlaces desconocidos, ingresa la dirección del sitio web oficial manualmente en lugar de hacer clic en enlaces de correos electrónicos.
Pero para los usuarios afectados, hay algunas cosas más prácticas que vale la pena hacer.
El paso más urgente es verificar si has recibido alguna notificación de "actualización de firmware" o "retirada de dispositivo" en nombre de SafePal. Si ya has ingresado tu frase semilla en una página sospechosa, crea una nueva cartera de inmediato y transfiere los activos. SafePal deja claro en su comunicado que nunca solicitará la frase semilla por teléfono, correo electrónico o cualquier otro canal.
Ve a la página de verificación dedicada de SafePal y consulta, usando tu número de pedido, si estás dentro del alcance afectado. Después de confirmarlo, puedes solicitar la eliminación de tu información personal. Durante los próximos meses, considera sospechosas todas las cartas físicas y paquetes que mencionen SafePal o carteras en frío. SafePal declara explícitamente que nunca envía cartas físicas.
Si tu dirección de entrega es también el lugar donde guardas tus activos criptográficos, evalúa seriamente las medidas de seguridad física. Esto puede sonar como una reacción exagerada, pero después de la filtración de Ledger, hubo usuarios que realmente enfrentaron amenazas personales debido a estos datos.
La industria criptográfica ha pasado diez años educando a los usuarios para "guardar bien tu clave privada". Las lecciones de SafePal y Ledger muestran que los atacantes ya han eludido la clave privada; apuntan a la persona que la posee. En el momento en que se filtra la información de "quién posee activos criptográficos", ni siquiera el almacenamiento en frío más robusto puede ofrecer protección.
El eslabón más débil de la cadena de seguridad nunca ha sido el chip ni la criptografía, es la persona.
