A SafePal informou, em 16 de agosto, que uma falha de autorização expôs dados de pedidos de 39.798 clientes. O problema estava em um plugin usado para rastrear encomendas.

Os registros envolvem pedidos realizados entre 2 de março de 2025 e 11 de abril de 2026. Eles incluíam nomes, e-mails, endereços de entrega, telefones e detalhes das compras.

A companhia enviou notificações individuais aos clientes afetados no domingo. Também lançou uma ferramenta para consultar pedidos por meio do número da compra e do país de entrega.

Vulnerabilidade permitiu acesso indevido a pedidos

Segundo a empresa, o plugin apresentava uma falha nos controles de autorização. Em determinadas condições, uma pessoa sem permissão conseguia consultar informações associadas ao pedido de outro cliente.

Após identificar a vulnerabilidade, a SafePal corrigiu o plugin e implementou controles adicionais de acesso. No entanto, o incidente não alcançou frases-semente, chaves privadas ou senhas das carteiras.

A falha também não expôs números de cartões, dados bancários ou documentos oficiais de identificação. Dessa forma, a companhia não encontrou evidências de comprometimento das carteiras ou dos fundos dos clientes.

Investigação começou após relato de phishing

Na página sobre o incidente, a empresa apresentou uma cronologia mais ampla. No início de maio, a SafePal recebeu um relato de phishing compatível com a falha.

Inicialmente, a companhia tratou o alerta como um caso isolado. Depois, a equipe elevou o episódio a uma investigação formal de segurança.

Em julho, a SafePal iniciou uma revisão completa de seu fluxo de processamento de pedidos. Durante o trabalho, a empresa reconstruiu partes do sistema e confirmou a vulnerabilidade no plugin.

Retenção de dados ampliou período afetado

Separadamente, um processo programado de limpeza de dados deixou de funcionar corretamente entre setembro de 2025 e abril de 2026. A SafePal atribuiu o problema a um erro de configuração.

Essa falha não provocou o acesso indevido. Entretanto, ela manteve registros antigos armazenados por mais tempo e ampliou o período afetado até março de 2025.

Agora, a empresa limita a 90 dias a retenção de dados pessoais no ambiente de processamento de pedidos, respeitando as exigências legais. As informações dos clientes afetados já deixaram os servidores ativos de comércio eletrônico.

Enquanto isso, a SafePal mantém uma cópia offline criptografada para apoiar eventuais investigações. A companhia também removeu mais de 30 sites fraudulentos e links de phishing associados à atividade criminosa.

Dados expostos aumentam risco de golpes direcionados

Os dados vazados podem ajudar criminosos a produzir mensagens de phishing mais convincentes. Esses golpes podem incluir nomes, endereços e detalhes reais das compras para enganar os clientes.

O risco se assemelha a incidentes recentes envolvendo outras fabricantes de carteiras. Uma violação em uma prestadora de serviços de envio expôs dados pessoais de 13.689 clientes da Trezor.

Entre as informações estavam nomes, e-mails, telefones e endereços de entrega. Em outros casos, criminosos enviaram cartas falsas em nome da Trezor e da Ledger com códigos QR maliciosos.

Esses códigos direcionavam as vítimas a páginas criadas para roubar frases de recuperação. Por isso, a SafePal reforçou que nunca solicita frases-semente, chaves privadas ou senhas.

A empresa afirma que os usuários não precisam mover seus recursos apenas por causa da exposição dos pedidos. Porém, a orientação muda caso o cliente tenha inserido dados secretos em um site suspeito.

Nessa situação, o usuário deve considerar a carteira comprometida, criar outra e transferir os recursos restantes. A recomendação vale para quem compartilhou uma frase-semente ou chave privada.

SafePal contratará auditoria independente

A SafePal contratará uma empresa independente de segurança para validar a correção da vulnerabilidade. A auditoria também revisará de forma mais ampla os sistemas usados no processamento de pedidos.

A companhia ainda não divulgou o nome da empresa responsável pelo trabalho. Além disso, contatou parceiros de logística e atendimento para verificar possíveis impactos.

Até o momento, a investigação não encontrou evidências de que o incidente tenha alcançado os sistemas desses parceiros. A SafePal também abriu um canal de suporte dedicado aos clientes afetados.

Em paralelo, a companhia busca especialistas em rastreamento on-chain para atender clientes que relatem perdas financeiras. A medida não representa admissão de responsabilidade nem compromisso de compensação.

A empresa não identificou o responsável pelo acesso indevido. Também não divulgou um valor confirmado para eventuais perdas causadas por golpes posteriores.

Novas conclusões poderão aparecer nas atualizações oficiais de segurança da SafePal. A companhia continuará monitorando o surgimento de domínios fraudulentos relacionados ao incidente.