- SafePal affirme qu'une faille d'autorisation a exposé les données de commande appartenant à 39 798 clients.
- Les noms, adresses e-mail, numéros de téléphone, adresses de livraison et détails d’achat ont été consultés.
- Les phrases de départ, les clés privées, les mots de passe du portefeuille et les données de paiement n'ont pas été compromis.
SafePal a divulgué une violation de données affectant 39 798 clients, mais la partie la plus importante de l'incident se situe en dehors du logiciel de portefeuille lui-même. Une faille d'autorisation dans un plugin de suivi des commandes a exposé les noms, e-mails, numéros de téléphone, adresses de livraison et informations d'achat appartenant aux clients ayant commandé entre le 2 mars 2025 et le 11 avril 2026.
SafePal a déclaré n'avoir trouvé aucune preuve que l'accès au portefeuille ou les fonds des clients avaient été compromis, et que les phrases de départ, les clés privées et les mots de passe n'étaient pas exposés. La violation met plutôt en évidence un problème différent pour les fournisseurs de portefeuilles matériels : un appareil peut protéger les clés cryptographiques tandis que les systèmes commerciaux utilisés pour le vendre continuent d'exposer l'identité et l'emplacement de son propriétaire.
Le portefeuille est resté sécurisé alors que la couche d'identité du client a échoué
SafePal a attribué l'incident à une faille d'autorisation dans un plugin utilisé pour le suivi des commandes. Sous certaines conditions, les informations de commande d'un client pourraient être consultées sans autorisation. La société a déclaré avoir résolu le problème après l'avoir découvert et introduit des mesures de sécurité supplémentaires.
Les informations exposées comprenaient :
- Noms complets
- Adresses e-mail
- Numéros de téléphone
- Adresses de livraison
- Détails de l'achat
SafePal a souligné que l'incident ne concernait pas de phrases de départ, de clés privées, de mots de passe de portefeuille, de détails de compte bancaire, de numéros de carte de paiement ou d'identification émise par le gouvernement. Il a également déclaré n’avoir trouvé aucune preuve que la violation elle-même permettait d’accéder aux portefeuilles ou aux fonds des clients.
Chère communauté,
Bien que votre portefeuille SafePal, votre phrase de départ et vos clés privées soient sécurisés ; nous avons identifié une faille dans le plug-in de suivi des commandes qui a conduit à un accès non autorisé aux informations d'un sous-ensemble de clients.
Le problème a été résolu avec des mesures de sécurité supplémentaires…
– SafePal – Portefeuille crypto (@SafePal) 16 août 2026
Cette distinction est importante car il ne s'agit pas d'un compromis sur l'architecture d'auto-garde de SafePal. Il s’agissait d’une violation de l’infrastructure entourant l’achat d’un dispositif d’auto-garde.
Pour les clients concernés, cela ne rend toutefois pas l’incident inoffensif.
Les données d’expédition peuvent être plus dangereuses qu’il n’y paraît
Une base de données contenant une adresse et un historique d’achats peut révéler quelque chose que les attaquants devraient autrement découvrir séparément : cette personne possède probablement un portefeuille matériel et l’endroit où elle reçoit ses livraisons.
Cela crée un modèle de menace très différent d’une violation de mot de passe classique.
Un attaquant n’a pas nécessairement besoin d’une phrase de départ immédiatement. Les informations d’achat authentiques peuvent rendre le phishing beaucoup plus convaincant. Un escroc peut faire référence au modèle de l'appareil, à l'historique des commandes, aux détails de livraison ou au nom du client tout en se faisant passer pour l'assistance SafePal et en demandant à la victime de « vérifier » ou de « restaurer » un portefeuille.
SafePal lui-même a averti que les clients concernés pourraient être confrontés à des appels frauduleux, des SMS, des e-mails, des lettres, de fausses offres de remboursement, des sites Web malveillants et de fausses demandes de mise à jour du micrologiciel.
L'adresse physique crée une autre préoccupation. Les acheteurs de portefeuilles matériels s'auto-sélectionnent en tant que personnes possédant un certain niveau de propriété de crypto-monnaie, ce qui rend une base de données de commerce électronique plus sensible qu'une liste de diffusion générique de vente au détail.
Cela ne signifie pas que la violation de SafePal a donné lieu à des attaques physiques. Aucun lien de ce type n’a été établi. Mais l’incident augmente la quantité d’informations personnelles disponibles pour le ciblage.
Un échec de rétention a rendu la violation plus importante que nécessaire
L'une des découvertes les plus importantes est venue de l'examen des incidents par SafePal plutôt que de la faille du plugin lui-même.
La société a déclaré qu'un processus programmé de nettoyage des données avait cessé de fonctionner correctement entre septembre 2025 et
Avril 2026 en raison d'une erreur de configuration. L'échec n'a pas provoqué d'accès non autorisé, mais cela signifie que les enregistrements clients plus anciens sont restés disponibles plus longtemps que prévu, ce qui a permis de prolonger la période concernée jusqu'en mars 2025.
C’est une leçon de sécurité significative.
Les organisations s’efforcent généralement d’empêcher les attaquants d’accéder aux données stockées. La minimisation des données aborde le problème dans la direction opposée : les informations déjà supprimées ne peuvent pas être volées ultérieurement du système compromis.
SafePal a désormais réduit à 90 jours la conservation des données personnelles dans l'environnement de traitement des commandes concerné, sous réserve des obligations légales, et a déclaré que les informations concernées ont été supprimées des serveurs de commerce électronique actifs. Une copie hors ligne cryptée est conservée à des fins d’enquête.
Pour les entreprises de portefeuilles matériels, cela pourrait devenir l’un des moyens les plus efficaces de réduire les conséquences de futures violations de la couche commerciale. Les informations d'expédition sont nécessaires sur le plan opérationnel pendant l'exécution d'une commande. Sa valeur sécuritaire devient de plus en plus discutable une fois cet objectif terminé.
La violation a été détectée après l'apparition d'une activité de phishing
Le calendrier soulève également des questions sur la rapidité avec laquelle les incidents de sécurité dans le commerce de détail peuvent être reconnus.
Selon la FAQ sur les incidents de SafePal, la société a reçu un rapport de phishing correspondant au problème début mai. Il s’agissait au départ d’un cas isolé. Le problème a ensuite donné lieu à une enquête de sécurité plus large et SafePal a commencé à reconstruire son pipeline de traitement des commandes en juillet avant de confirmer la vulnérabilité du plugin.
Lors de la divulgation du 16 août, SafePal a déclaré avoir informé individuellement les clients concernés de [email protected]. Il a également déclaré avoir supprimé plus de 30 sites Web de phishing et liens malveillants associés à des activités frauduleuses.
Cette séquence illustre la difficulté d’identifier les abus de données client. Le premier symptôme visible n’est peut-être pas une compromission évidente du serveur. Il peut s’agir d’un client victime d’une arnaque inhabituellement convaincante.
La sécurité du portefeuille matériel s'étend désormais au-delà du matériel
L'incident révèle un problème structurel pour l'industrie des portefeuilles matériels.
Les fabricants investissent massivement dans des éléments sécurisés, dans la génération de clés hors ligne et dans la protection contre la falsification des appareils.
Pourtant, la vente de ces appareils dépend toujours de l’infrastructure Web conventionnelle : boutiques en ligne, systèmes de traitement des commandes, services d’analyse, partenaires d’expédition et logiciels de support client.
Chaque système supplémentaire stockant les noms, adresses et informations sur les produits élargit le périmètre de sécurité.
Le cas de SafePal est particulièrement utile car les protections principales du portefeuille ont apparemment fonctionné. Rien n’indique que des attaquants ont pénétré les appareils ou obtenu les informations d’identification nécessaires pour déplacer la cryptographie.
La faiblesse est apparue dans une fonction banale de suivi des commandes.
Cela rend la sécurité de la chaîne d’approvisionnement et du commerce de plus en plus pertinente pour les prestataires d’auto-garde. La cryptographie la plus puissante de l'appareil ne peut pas empêcher l'identification d'un client via un plugin vulnérable placé ailleurs dans le processus d'achat.
Ce qui a affecté les clients SafePal devraient réellement regarder
La menace à court terme la plus probable est l’usurpation d’identité ciblée plutôt que la compromission immédiate du portefeuille.
Les clients SafePal concernés par la violation doivent traiter les messages faisant référence à des informations de commande réelles comme non fiables, à moins qu'ils ne soient vérifiés de manière indépendante par les canaux officiels. En particulier, le personnel d'assistance légitime ne devrait pas avoir besoin d'une phrase de départ ou d'une clé privée pour enquêter sur un problème lié à une commande.
L'autre mesure à surveiller est de savoir si la politique de rétention de 90 jours de SafePal devient un élément permanent de son modèle opérationnel et si d'autres sociétés de portefeuilles matériels adoptent des limites similaires.
Pour ce secteur, cela peut être plus important qu'une autre fonctionnalité du micrologiciel. Le problème de sécurité consiste de plus en plus à minimiser la durée pendant laquelle une entreprise sait qui a acheté un dispositif d'auto-garde et où vit cette personne.
Voir l’article original en anglais
