SafePal teilte mit, alle betroffenen Kunden am 16. August einzeln per E-Mail von security@safepal.com informiert zu haben. Der Betreff lautete laut Unternehmen „[Wichtig] Ihre SafePal-Bestellinformationen waren betroffen“.
Nach Darstellung von SafePal konnte der Fehler dazu führen, dass ein Kunde auf die Bestellinformationen eines anderen Kunden zugreifen konnte. Welches Plug-in betroffen war, von welchem Anbieter es stammt und welche Version verwundbar war, nannte das Unternehmen nicht. Eine CVE-Kennung gibt es für das Problem nicht.
Brisant ist die Kombination der offengelegten Angaben: Die Datensätze verknüpfen laut SafePal einen namentlich genannten Menschen mit Wohnadresse und Kauf. Deshalb warnt das Unternehmen vor „betrügerischen Anrufen, E-Mails, Textnachrichten, Briefen, Erstattungsangeboten, Aufforderungen zu Firmware-Updates und gefälschter Kundenkommunikation“. Wallet-Adressen, Kontostände oder Angaben darüber, was ein Kunde hält, seien in den Daten nicht enthalten. SafePal rät, jede unerwartete Kontaktaufnahme oder Hardware-Lieferung mit Bezug auf einen SafePal-Kauf als verdächtig zu behandeln — egal ob per Telefon, Post oder persönlich.
Zusätzlich erklärte SafePal, ein geplanter Prozess zur Datenbereinigung habe zwischen September 2025 und April 2026 wegen eines Konfigurationsfehlers nicht korrekt funktioniert. Dadurch seien ältere Bestelldaten länger als vorgesehen im System geblieben. Dieser Fehler habe den unbefugten Zugriff nicht verursacht, sei aber der Grund, warum der betroffene Zeitraum bis in den März 2025 zurückreiche.
Den ersten Hinweis, der zu dem Problem passte, erhielt SafePal nach eigenen Angaben Anfang Mai 2026. Zunächst habe man den Fall als Einzelfall behandelt, ihn später aber zu einer formellen Sicherheitsuntersuchung hochgestuft und zusätzliche Schutzmaßnahmen eingeführt. In einer FAQ zum Vorfall greift das Unternehmen selbst die Frage auf, warum Phishing-Mails im Mai erst im August einer Ursache zugeordnet wurden. Help Net Security berichtete unter Berufung auf einen Kundenbeitrag auf X, dass ein Kunde in diesem Monat eine verdächtige E-Mail, einen Brief und einen Anruf von jemandem erhalten habe, der sich als SafePal ausgab. Eine bestätigte Verbindung zwischen der Datenoffenlegung und diesem Phishing-Versuch gibt es jedoch nicht.
SafePal erklärte weiter, im Juli eine vollständige Überprüfung und einen Neuaufbau seiner Bestellabwicklung begonnen zu haben. Im Zuge dieser Arbeiten habe das Unternehmen die eigentliche Ursache bestätigt.
Inzwischen hat laut dem Bericht ein Bedrohungsakteur in einem Cybercrime-Forum einen Datensatz beworben, der denselben Bestellzeitraum und dieselbe Kundenzahl nennt. DarkWebInformer machte den Eintrag am 16. August öffentlich. Der Anbieter bot demnach an, Bestell-IDs und Versandländer zu teilen, damit Interessenten sie mit SafePals eigenem Verifizierungswerkzeug abgleichen können. Bis zum Zeitpunkt des Berichts hatte SafePal dazu weder im Blog noch auf der Vorfallsseite oder auf X Stellung genommen und auf eine Anfrage nicht sofort reagiert.
Kunden müssten Vermögenswerte nach Angaben von SafePal nicht allein wegen der Offenlegung verschieben. Wer jedoch infolge einer verdächtigen Nachricht eine Seed-Phrase oder einen privaten Schlüssel eingegeben habe, solle die betreffende Wallet als kompromittiert betrachten. Bestätigte finanzielle Verluste haben weder SafePal noch größere Medienberichte zu dem Vorfall gemeldet. SafePal bat Kunden, sich bei vermuteten Verlusten an den Support zu wenden, und erklärte, man kontaktiere in diesem Fall Spezialisten für die Nachverfolgung von On-Chain-Vermögenswerten.