Más de 53,000 propietarios de criptomonedas perdieron algo esta semana que no es dinero
Una frase semilla puede ser reemplazada. Una contraseña puede ser restablecida. Una dirección de casa no puede. La filtración de datos de SafePal divulgada el domingo expuso casi 40,000 de ellas.
Tres días antes, Trezor filtró 13,689 más. Juntas, las dos empresas de billeteras de hardware pusieron 53,487 registros de clientes al descubierto. Ninguna de las dos compañías perdió una sola moneda.
Lo que expuso la filtración de datos de SafePal
SafePal dijo que 39,798 clientes se vieron afectados. La filtración cubrió nombres, correos electrónicos, números de teléfono, direcciones de envío y detalles de pedidos.
La causa fue un fallo en el complemento que SafePal utiliza para rastrear pedidos. En algunos casos, un cliente podía abrir el registro de otro cliente.
Los pedidos afectados abarcaron desde el 2 de marzo de 2025 hasta el 11 de abril de 2026. Esa ventana permaneció abierta durante más de 13 meses.
Las frases semilla, claves privadas, detalles bancarios y números de tarjeta no fueron tocados. SafePal ha corregido el fallo y ha reducido la retención de datos de pedidos a 90 días, según su divulgación.
El Token de SafePal (SFP) apenas se movió el domingo, cotizando cerca de $0.23. Ese es el punto. No ocurrió nada financiero aquí.
Por qué las direcciones filtradas perduran más que las contraseñas filtradas
Trezor se enteró de su propia filtración de datos de clientes el 10 de agosto. Su socio de envío, ShipMonk, había sido comprometido.
Se filtraron todos los detalles de 11,742 compradores de Trezor, según el aviso de la compañía. Nombres, correos electrónicos, números de teléfono y direcciones de casa se divulgaron.
Las dos fallas difieren en su origen. Los datos de Trezor salieron a través de un proveedor. Los de SafePal salieron a través de un sistema que ellos mismos operaban.
Sin embargo, ambas listas valen lo mismo para un atacante. Comprar una billetera de hardware sugiere que tienes suficiente criptomoneda para moverla fuera de un intercambio.
Por lo tanto, estos registros son más específicos que una filtración típica de intercambio. Emparejan a un probable titular de autocustodia con una puerta de entrada confirmada.
Los fiscales ya han visto este manual
En mayo, los fiscales de EE. UU. anunciaron cargos contra tres hombres de Tennessee por una ola de robos de 6.5 millones de dólares en California.
Los hombres se hicieron pasar por repartidores para llegar a las víctimas dentro de sus hogares, dice la acusación.
Un registro de envío filtrado entrega ese guion al próximo grupo. Nombra al comprador, proporciona la dirección y dice qué llegó en la caja.
El phishing es el problema menor. SafePal ha eliminado más de 30 sitios web falsos y enlaces de estafa relacionados con los datos robados.
Los avisos reales provienen de [email protected]. Cualquier cosa de otra dirección debe ser tratada como un ataque.
El libro mayor muestra cuánto tiempo dura esta cola. Su violación en 2020 expuso aproximadamente 272,000 direcciones postales, nombres y números de teléfono, según el comunicado de la empresa.
Seis años después, Ledger sigue advirtiendo a los clientes sobre cartas de phishing que llegan por correo. La empresa no vincula esas cartas con la filtración de 2020.
Los dominios de estafa se eliminan. Las bandejas de entrada se filtran. Las direcciones no caducan.
Trezor ahora planea una opción de entrega anónima, llegando a la Unión Europea en septiembre y a EE. UU. para fin de año. Llega demasiado tarde para los 53,487 registros que ya están en circulación.
Fuente: BeInCrypto