SafePal vaza dados de 40 mil clientes: o que fazer agora

A SafePal, uma das carteiras de hardware mais populares do mercado cripto e que recebeu investimento estratégico da Binance Labs em 2018, confirmou no último domingo (16) que sofreu um vazamento de dados que expôs informações pessoais de cerca de 39.798 clientes. A falha atingiu pedidos realizados entre março de 2025 e abril de 2026.

Entre os dados comprometidos estão nome, e-mail, endereço de entrega, número de telefone e detalhes da compra. Ou seja, o tipo de informação que permite a golpistas construir ataques de engenharia social altamente personalizados.

O incidente não é isolado. Dias antes, na quinta-feira (13), a Trezor, outra fabricante de carteiras de hardware, também reconheceu um vazamento afetando 13.689 clientes, incluindo brasileiros. A sequência de eventos levanta uma questão incômoda: quem protege os dados de quem compra dispositivos feitos para proteger criptomoedas?

O que aconteceu na SafePal e como a falha foi explorada

Segundo a nota oficial da empresa, a origem do problema foi uma falha de autorização na função de acompanhamento de pedidos de um plugin. Um erro técnico relativamente simples, mas com consequências graves.

A SafePal afirma que o problema já foi corrigido e que todos os clientes afetados foram notificados individualmente por e-mail. A empresa também reduziu o período de retenção de dados de clientes para 90 dias, uma medida que deveria ter sido padrão desde o início.

É importante notar que o vazamento não comprometeu chaves privadas ou frases-semente dos usuários. Carteiras de hardware armazenam esses dados localmente, no próprio dispositivo. O risco, no entanto, não é técnico. É humano. E isso, em muitos casos, é pior.

Quem acompanha o mercado de criptomoedas sabe que ataques de engenharia social são responsáveis pela maioria das perdas de fundos em carteiras pessoais. O vazamento da SafePal entrega aos criminosos exatamente o que eles precisam para executar esse tipo de golpe.

Os riscos reais para quem teve dados expostos

Com nome, endereço físico, telefone e histórico de compra em mãos, golpistas podem executar ao menos três tipos de ataque.

O primeiro e mais provável é o phishing direcionado. E-mails ou mensagens que imitam comunicações oficiais da SafePal, pedindo que o usuário “verifique” sua carteira ou “atualize” a segurança do dispositivo. O objetivo é convencer a vítima a digitar sua frase-semente em um site falso. A própria SafePal já identificou e removeu mais de 30 sites fraudulentos que imitavam seu domínio oficial, alguns substituindo a letra “l” minúscula por um “I” maiúsculo.

O segundo risco é o SIM swap. Com número de telefone e dados pessoais, criminosos podem clonar o chip da vítima e acessar contas que dependem de autenticação por SMS. Quem ainda usa SMS como segundo fator está particularmente vulnerável, como já abordamos em análises anteriores sobre segurança digital no universo cripto.

O terceiro risco é o mais grave e menos discutido: ataques físicos. Com o endereço de entrega do dispositivo, criminosos sabem exatamente onde mora alguém que possui uma carteira de hardware, ou seja, alguém com potencial de ter quantias significativas em criptomoedas. Na França, uma onda de sequestros contra investidores de cripto tem sido diretamente associada a vazamentos de dados de fabricantes de carteiras. O caso mais emblemático foi o vazamento da Ledger em 2020, que expôs dados de mais de 270 mil clientes e resultou em ameaças físicas documentadas.

O que a SafePal está fazendo e o que ainda falta

Além da correção da falha e da notificação dos afetados, a empresa tomou algumas medidas adicionais. Reduziu o período de retenção de dados para 90 dias, criou um canal de suporte dedicado ao incidente e está trabalhando com uma empresa independente de segurança para monitorar novas atividades de golpes.

A SafePal também entrou em contato com parceiros de logística para confirmar que o problema não se espalhou para sistemas terceiros. São medidas corretas, mas reativas. O padrão da indústria deveria ser a minimização de dados desde o início: armazenar apenas o estritamente necessário e pelo menor tempo possível.

O fato de a empresa só ter reduzido o período de retenção após o vazamento mostra que a segurança de dados de clientes não era prioridade. Dados de compras com mais de um ano estavam armazenados sem necessidade operacional clara.

Como se proteger: medidas práticas para investidores

Se você comprou uma SafePal nos últimos 14 meses, a recomendação é tratar qualquer comunicação supostamente vinda da empresa com desconfiança máxima. A SafePal reforçou que nunca pede frases-semente, chaves privadas ou senhas por nenhum canal.

Algumas ações concretas:

• Acesse o site da SafePal digitando a URL manualmente no navegador. Não clique em links recebidos por e-mail ou mensagem.
• Ative autenticação de dois fatores baseada em aplicativo (Google Authenticator ou Authy), não em SMS.
• Monitore tentativas de SIM swap entrando em contato com sua operadora para adicionar camadas de verificação.
• Considere usar um endereço diferente para compras de equipamentos de segurança cripto, como caixas postais ou endereços comerciais.
• Fique atento a e-mails com domínios suspeitos. Verifique caractere por caractere.

Para quem acompanha o setor, o padrão de vazamentos em fabricantes de carteiras de hardware é preocupante. Como analisamos ao tratar da segurança de exchanges e custodiantes de criptomoedas, a infraestrutura do ecossistema cripto é tão forte quanto seu elo mais fraco. E, frequentemente, esse elo não é o blockchain, mas o banco de dados de um e-commerce.

A ironia é evidente: dispositivos projetados para dar aos investidores controle total sobre seus ativos acabam criando novos vetores de risco no momento da compra. Enquanto o setor não adotar práticas mais rigorosas de proteção de dados, desde a minimização até a criptografia ponta a ponta de informações de clientes, vazamentos como este continuarão acontecendo.