Falha em plugin expõe dados de quase 40 mil clientes da SafePal

A SafePal divulgou no domingo um vazamento de dados que atingiu 39.798 clientes.

A causa não foi uma invasão sofisticada nem uma falha criptográfica. Foi um bug de autorização em um plugin de rastreamento de pedidos, uma peça de software que a maioria dos usuários nunca viu e nem sabia que existia. O problema permitiu que terceiros acessassem informações de outros clientes sem autorização.

Nomes, endereços de entrega, telefones, e-mails e detalhes de compras ficaram expostos. Os pedidos afetados vão de 2 de março de 2025 a 11 de abril de 2026, um período de mais de um ano.

A empresa afirma que chaves privadas, senhas de carteira, dados bancários e documentos oficiais não foram atingidos. A SafePal diz que sequer coleta esse tipo de informação. Não há registros de que carteiras ou fundos tenham sido comprometidos.

Mas os dados que vazaram bastam para alimentar golpes personalizados.

Nome, telefone, endereço, data da compra e o produto adquirido. Combinados, esses dados dão base para ligações, e-mails e mensagens que imitam o suporte oficial. A SafePal já derrubou mais de 30 domínios de phishing ligados ao incidente.

O phishing já começou antes da divulgação

A empresa recebeu a primeira denúncia de golpe compatível com o problema em maio. Tratou como caso isolado. Só em julho, em uma investigação formal, confirmou a falha no plugin e refez o pipeline de processamento de pedidos.

Há um agravante no histórico. Uma rotina de limpeza automática de registros parou de rodar entre setembro de 2025 e abril de 2026 por erro de configuração. O acesso indevido não veio daí, mas registros antigos ficaram guardados mais tempo do que deveriam, o que estendeu a janela de risco até março de 2025.

A SafePal encurtou a janela de guarda de dados para 90 dias e contratou firma de segurança externa para revisar toda a cadeia de processamento de pedidos.

A divulgação veio três dias depois de um incidente semelhante na Trezor. Naquela vez, a falha foi no parceiro logístico ShipMonk e atingiu quase 14 mil clientes. Juntos, mais de 53 mil registros de hardware wallets foram expostos em quatro dias.

O padrão é claro. As carteiras físicas protegem chaves privadas com arquitetura air-gapped, mas a infraestrutura de e-commerce por trás continua exposta. Plugin de rastreamento, parceiro logístico, processo de retenção. São camadas que nenhum usuário controla e que podem comprometer dados pessoais mesmo quando a carteira em si está segura.