Falha de segurança na SafePal expõe dados de quase 40 mil clientes

A fabricante de carteiras de criptomoedas SafePal confirmou no sábado que uma falha de segurança num plugin de rastreamento de encomendas permitiu que atacantes acedessem a dados pessoais de aproximadamente 39.798 clientes. A publicação Decrypt avança que esta violação de dados afeta utilizadores que efetuaram encomendas entre 2 de março de 2025 e 11 de abril de 2026.

As informações expostas incluem nomes, endereços de correio eletrónico, moradas de envio, números de telefone e detalhes de compras. A empresa, que é apoiada pela Binance e pela Animoca Brands e afirma servir 30 milhões de utilizadores, esclareceu através de um comunicado na rede social X que as credenciais das carteiras propriamente ditas não foram afetadas.

A SafePal sublinhou que frases-semente, chaves privadas, palavras-passe das carteiras, dados bancários, números de cartões de pagamento e documentos de identificação governamental não estiveram envolvidos na violação. A empresa já corrigiu a vulnerabilidade, notificou os clientes afetados por correio eletrónico e criou uma página para verificação de exposição.

Embora não tenha havido roubo direto de fundos, a combinação de nomes, moradas e evidências de propriedade de criptomoedas representa exatamente o tipo de informação que pode orientar criminosos para alvos de elevado património. Esta preocupação tem-se intensificado com o aumento dos chamados ataques de extorsão física, nos quais as vítimas são ameaçadas ou agredidas até entregarem as suas criptomoedas.

De acordo com dados da Chainalysis mencionados na notícia, foram documentados 46 incidentes violentos na primeira metade de 2026, com mais de 30 milhões de dólares roubados, colocando o ano no caminho para ser o pior de que há registo. As invasões domiciliárias estão cada vez mais a ultrapassar os raptos como método preferido dos criminosos.

A SafePal junta-se assim a uma lista crescente de empresas de carteiras cujos clientes foram expostos através de fugas de dados. Poucos dias antes, a fabricante de carteiras Trezor revelou que uma violação de segurança no parceiro de envios ShipMonk comprometeu dados de cerca de 13.700 clientes. O caso mais emblemático continua a ser o da Ledger, cuja fuga de informações de cerca de 272.000 clientes em 2020 conduziu a uma onda de ataques de phishing e, nalguns casos, a ameaças de resgate envolvendo violência.

O momento desta violação surge num período particularmente sensível para utilizadores de autocustódia, ainda abalados pela exploração da Coldcard, que drenou Bitcoin há muito inativo através de uma falha de entropia no firmware e empurrou as perdas do setor na direção dos 130 milhões de dólares. A SafePal apresentou desculpas à sua comunidade e indicou que publicará atualizações no seu blogue à medida que a investigação prossegue.