Este domingo se pudo conocer que un fallo de autorización en el sistema e-commerce del fabricante de billeteras frías SafePal, permitió el acceso no autorizado a nombres, teléfonos y direcciones de envío de usuarios que compraron dispositivos entre 2025 y 2026, días después que también se filtraran los datos de clientes del fabricante de billeteras, Trezor.
Sin duda, que el ecosistema de los activos digitales vive momentos oscuros por la filtración de datos de usuarios de hardware wallets, porque, la custodia fría representa el estándar de oro de la seguridad cripto.
Bajo el axioma “si no son tus claves, no son tus monedas”, millones de inversores recurren a billeteras de hardware aisladas de la red (air-gapped) para resguardar sus fondos de ataques cibernéticos, exploits en contratos inteligentes o quiebras de plataformas centralizadas.
Sin embargo, la seguridad criptográfica del dispositivo no siempre va de la mano con la protección de la infraestructura comercial del proveedor y eso es lo que ha sucedido en el más reciente caso de filtración de datos de usuarios.
El fabricante de billeteras frías SafePal confirmó este domingo en un comunicado en su Blog que una brecha de seguridad en su sistema de seguimiento de pedidos expuso la información personal de aproximadamente 39.798 usuarios.
La falla, originada en un complemento de su plataforma Web, permitió que terceros no autorizados accedieran a registros de compras realizados entre el 2 de marzo de 2025 y el 11 de abril de 2026.
Aunque las frases semilla, claves privadas, contraseñas y datos bancarios de los clientes no sufrieron ningún tipo de filtración y por lo tanto no fueron comprometidas, la filtración reabre el debate sobre la vulnerabilidad del eslabón e-commerce en la industria Web3.
Dear community,
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
— SafePal – Crypto Wallet (@SafePal) August 16, 2026
De acuerdo con los comunicados oficiales emitidos por SafePal y los informes técnicos recopilados por firmas de análisis blockchain, el origen del incidente no radicó en el firmware ni en los chips de seguridad de sus dispositivos (SafePal S1, S1 Pro o X1), sino en una vulnerabilidad de autorización lógica en su portal de procesamiento de órdenes.
Esta brecha permitió que una solicitud manipulada en el sistema de rastreo devolviera datos pertenecientes a otros compradores, divulgando como se mencionó antes: nombres completos, direcciones de correo electrónico, números de teléfono, direcciones físicas de envío y especificaciones detalladas de los artículos adquiridos.
A pesar de que SafePal declaró haber identificado la causa raíz y haber aplicado un parche de seguridad recientemente, reportes e investigaciones independientes sugieren que el problema pudo haber sido explotado meses antes.
En plataformas como Reddit y Trustpilot, diversos usuarios habían alertado desde inicios de julio sobre intentos sospechosos de suplantación de identidad, señalando haber sido contactados por actores maliciosos que poseían sus datos exactos de compra.
Estos actores maliciosos redirigían a estos clientes de SafePal a dominios fraudulentos, como safepal.support, bajo el pretexto de gestionar el envío de unidades de reemplazo lo que de inmediato alertó al área de seguridad de esta empresa.
Aunque SafePal inicialmente trató los primeros reportes de mayo como casos aislados, la acumulación de alertas llevó a una auditoría profunda en julio que culminó con la desactivación de más de 30 sitios de phishing y la reconstrucción del motor de órdenes.
Como medida correctiva adicional a todas las tomadas a nivel técnico, los representantes de SafePal anunciaron que tras el incidente, se acortará el periodo de retención de datos personales en su sistema de e-commerce a solo 90 días.
Ahora bien, la gravedad de una filtración de datos en una empresa de billeteras frías no radica en el acceso directo a la cadena de bloques, sino en el valor estratégico que esta información posee para los cibercriminales.
Al obtener un listado de casi 40.000 nombres asociados a direcciones de entrega y números telefónicos, los atacantes obtienen una base de datos confirmada de personas que poseen activos digitales suficientes como para haber invertido en un dispositivo de hardware.
Bajo este escenario es previsible que existan al menos dos vectores de ataque principales. La primera de ellas, son las Campañas de phishing hiperpersonalizadas indicando información precisa sobre el modelo adquirido y la fecha de orden, con la que los estafadores pueden redactar correos o mensajes de texto extremadamente convincentes.
Estas comunicaciones suelen alegar la necesidad urgente de descargar una “actualización crítica de firmware” o ingresar la frase de recuperación de 12 o 24 palabras en un portal Web “fraudulento” para evitar el bloqueo del dispositivo e incluso bonos u obsequios (falsos o envenenados) con el supuesto argumento de que SafePal están en la búsqueda de resarcir los daños a sus clientes.
El segundo vector, son los riesgos a la seguridad física, ya que la exposición de direcciones residenciales de tenedores de criptomonedas plantea amenazas que van más allá del entorno digital, abriendo la puerta a extorsiones, robos domiciliarios, secuestros o los denominados “ataques de llave inglesa de 5 dólares”, donde la coacción física se utiliza para forzar la transferencia de fondos.
El incidente de SafePal ya se puede incluir como parte de una tendencia preocupante en el sector cripto, ya que la divulgación de esta brecha ocurrió apenas tres días después de que Trezor, otro líder del sector, informara que una falla de seguridad en su proveedor logístico externo ShipMonk había expuesto la información de casi 14.000 clientes.
Del mismo modo, a principios de año, Ledger reportó un incidente similar vinculado a su proveedor de procesamiento de pagos Global-e, por lo que estos episodios demuestran una paradoja estructural en la industria de las criptomonedas, que está relacionada con el eslabón más débil, las cadenas de suministro y logística.
Mientras la criptografía asimétrica y los elementos seguros (Secure Elements) protegen las claves privadas con estándares militares, los procesos operativos de ventas, logística y atención al cliente continúan expuestos a los riesgos habituales del comercio electrónico tradicional.
Para los usuarios del ecosistema, la protección de los activos digitales requiere una disciplina rigurosa que ahora debe trascender más allá de la posesión del dispositivo físico, abarcando incluso su entorno personal.
Obviamente, como recomendación ningún fabricante legítimo solicitará jamás la frase semilla de sus wallets, ni las credenciales secretas a través de soporte técnico, correo electrónico o formularios Web.
Como sugerencia ante la proliferación de datos expuestos, la desconfianza sistemática frente a cualquier comunicación proactiva se consolida como la última y más efectiva línea de defensa.