Le fabricant de portefeuilles matériels de cryptomonnaies SafePal a signalé une fuite de données concernant environ 39 798 utilisateurs. La société a fait part de l'incident le 16 août, en précisant que des informations telles que les noms des clients, les adresses de livraison, les numéros de téléphone, les adresses e-mail et les détails des commandes étaient désormais en possession de tiers.
Cependant, les phrases de récupération (seed phrases), les clés privées, les mots de passe, les coordonnées bancaires, les numéros de cartes et les documents n'ont pas été compromis lors de cette fuite. SafePal ne collecte ni ne stocke initialement ce type d'informations. L'équipe du projet a vérifié ses systèmes et n'a trouvé aucun signe indiquant que les malfaiteurs auraient obtenu l'accès aux portefeuilles ou aux fonds des utilisateurs.
En quoi cette fuite est-elle dangereuse pour les clients ?
Les développeurs ont averti : même sans accès aux actifs en cryptomonnaies, les données divulguées fournissent une base pour des attaques ciblées. Les escrocs peuvent appeler ou écrire aux clients en se faisant passer pour le support technique, proposer des « remboursements », les inciter à mettre à jour le firmware de l'appareil ou envoyer des liens vers des sites de phishing imitant celui de SafePal.
L'entreprise surveille déjà l'apparition de ces ressources contrefaites et s'efforce de les faire bloquer. Les clients doivent se méfier de toute communication mentionnant les détails de leurs commandes – ces informations pouvant désormais être utilisées pour donner une apparence de légitimité aux messages.
Une erreur dans le plugin de suivi des commandes
Selon SafePal, la fuite est due à une vulnérabilité dans un plugin de suivi des commandes, lié aux données clients. Une erreur d'autorisation dans ce plugin permettait à un utilisateur extérieur d'accéder aux commandes d'autres clients – c'est-à-dire de voir des informations qui ne lui étaient pas destinées, là où seules ses propres informations auraient dû s'afficher.
Au moment de la publication de la déclaration, les développeurs avaient déjà corrigé le problème et renforcé les mesures de sécurité du système. L'incident concerne les personnes ayant passé des commandes entre le 2 mars 2025 et le 11 avril 2026. La société n'a pas précisé à quel moment les malfaiteurs ont exploité cette vulnérabilité, ni quand l'équipe du projet l'a découverte.
Les prochaines étapes de SafePal
Actuellement, le fabricant mène l'enquête sur l'incident en collaboration avec une entreprise indépendante spécialisée en sécurité et prépare un audit de l'ensemble du système de traitement des commandes. Parmi les mesures déjà mises en œuvre figurent la réduction de la durée de conservation des données dans le système affecté à 90 jours, la notification aux partenaires logistiques pour qu'ils vérifient si le problème a touché leurs propres systèmes, la correction de la vulnérabilité dans le plugin et le renforcement du contrôle d'accès aux données clients.
Ainsi, cette fuite n'a pas compromis les actifs en cryptomonnaies des utilisateurs de SafePal, mais a révélé suffisamment de données personnelles pour organiser des escroqueries par ingénierie sociale. La société affirme qu'elle continuera à surveiller la situation et à enquêter avec l'aide d'experts externes en sécurité.
L'avis de l'IA
L'analyse révèle un schéma sectoriel clair : l'incident de SafePal est le troisième cas de fuite de données de contact de clients de portefeuilles matériels en quelques années, et à chaque fois, les malfaiteurs utilisent la même méthode – l'envoi de courriels de phishing se faisant passer pour le support. Une situation similaire s'est produite avec Ledger en 2020, lorsque les données d'un million de clients ont fuité, et les victimes ont ensuite été harcelées pendant des mois par des campagnes de fraude, y compris par l'envoi de faux appareils par courrier. Tout récemment, Trezor a également été confronté au même problème.
L'aspect technique resté hors du champ de l'article : la vulnérabilité n'est pas apparue dans le portefeuille matériel lui-même, mais dans un plugin tiers de suivi des commandes – ce qui pointe du doigt le maillon faible non pas dans la cryptographie des appareils, mais dans les services web auxiliaires que les entreprises connectent à leurs plateformes. De plus, la durée de la fuite – plus d'un an – soulève la question : combien de vulnérabilités similaires dans les systèmes périphériques des fabricants restent non détectées jusqu'à ce que les données soient utilisées contre les clients eux-mêmes ?
