La série noire continue pour la sécurité des détenteurs de cryptomonnaies. Après plusieurs incidents récents dans l’écosystème, SafePal confirme à son tour une importante fuite de données clients.

Le fabricant de portefeuilles matériels a annoncé le 16 août 2026 avoir découvert un accès non autorisé à certaines informations liées aux commandes de ses clients.

Selon SafePal, environ 39 798 clients sont concernés. L’incident touche des commandes passées entre le 2 mars 2025 et le 11 avril 2026.

⚠️ Trezor victime d’une fuite de données

Une faille dans le système de suivi des commandes

SafePal explique avoir identifié un défaut d’autorisation dans la fonction de suivi des commandes d’un plug-in associé aux informations clients.

Dans certaines conditions, cette faille permettait d’accéder sans autorisation aux informations concernant la commande d’un autre client.

SafePal affirme avoir corrigé le problème après sa découverte. L’entreprise indique également avoir ajouté des mesures de sécurité supplémentaires.

39 798 clients concernés

Les données exposées sont particulièrement sensibles puisqu’elles permettent d’identifier et de localiser certains acheteurs de produits SafePal.

• nom du client ;
• adresse e-mail ;
• adresse de livraison ;
• numéro de téléphone ;
• détails concernant les achats.

SafePal indique avoir prévenu individuellement les clients concernés par e-mail le 16 août. Le message officiel provient de l’adresse security@safepal.com.

L’entreprise propose également un outil permettant de vérifier si une commande figure dans le périmètre de l’incident. La vérification utilise le numéro de commande et le pays de livraison.

Les seeds et les clés privées ne sont pas concernées

Un point doit être clairement distingué de la fuite de données personnelles : SafePal ne signale aucune compromission des portefeuilles eux-mêmes.

Selon l’entreprise, l’incident n’a pas exposé les phrases de récupération, clés privées, mots de passe des portefeuilles ou autres identifiants permettant d’accéder aux wallets.

SafePal indique également que les numéros de cartes bancaires, informations de comptes bancaires et numéros de documents d’identité gouvernementaux ne figurent pas parmi les informations concernées.

L’entreprise précise que son architecture de stockage à froid fonctionne dans un environnement isolé des serveurs utilisés pour le commerce électronique.

SafePal affirme donc n’avoir trouvé aucune preuve que cet incident ait compromis l’accès aux portefeuilles ou aux fonds des utilisateurs.

⚠️ Le véritable danger concerne maintenant le phishing

Le risque ne doit pourtant pas être sous-estimé. Les informations dérobées peuvent permettre aux escrocs de construire des attaques beaucoup plus crédibles et personnalisées.

Un criminel connaissant le nom, le téléphone, l’adresse et le matériel acheté peut plus facilement se présenter comme un membre du support SafePal.

SafePal avertit notamment contre de faux appels téléphoniques, e-mails, SMS, courriers, remboursements, mises à jour de firmware et faux services d’assistance.

Des sites malveillants pourraient également chercher à obtenir la phrase de récupération ou d’autres informations permettant finalement de voler les cryptomonnaies de la victime.

SafePal prévient également que certaines informations compromises pourraient être diffusées sur des forums publics.

Plus de 30 sites frauduleux et liens de phishing supprimés

SafePal affirme avoir déjà identifié et fait supprimer plus de 30 sites frauduleux et liens de phishing associés aux activités d’escroquerie surveillées par l’entreprise.

La surveillance continue afin d’identifier de nouveaux domaines frauduleux. SafePal demande également aux utilisateurs de signaler toute sollicitation suspecte via sa page dédiée.

SafePal réduit la conservation des données à 90 jours

L’entreprise annonce plusieurs changements après l’incident. Elle a notamment ramené à 90 jours la durée de conservation des informations personnelles dans l’environnement de traitement des commandes concerné.

Cette durée reste soumise aux obligations légales applicables. SafePal indique également faire intervenir une société indépendante spécialisée en cybersécurité.

Cette société doit vérifier le correctif et effectuer un examen plus large des systèmes utilisés pour traiter les commandes.

SafePal indique aussi avoir contacté ses partenaires logistiques afin de vérifier que l’incident ne s’est pas propagé davantage dans leurs systèmes.

Ne déplacez pas vos cryptomonnaies uniquement à cause de cette fuite

SafePal précise qu’un client concerné n’a pas besoin de déplacer ses actifs uniquement parce que ses informations de commande ont été exposées.

La situation devient différente si l’utilisateur a déjà communiqué sa seed ou sa clé privée après avoir reçu un message, un appel ou visité un site suspect.

Dans ce cas, SafePal recommande de considérer le portefeuille comme compromis, de créer un nouveau wallet depuis une application ou un appareil fiable, puis de transférer les actifs restants.

🚨 SafePal rappelle une règle essentielle

SafePal ne demandera jamais votre phrase de récupération de 12 ou 24 mots, votre PIN ou vos clés privées.

L’entreprise recommande également de ne jamais cliquer sur les liens ou QR codes contenus dans des communications non sollicitées prétendant provenir de SafePal.

Elle conseille de saisir manuellement l’adresse de son site officiel dans le navigateur. Des fraudeurs ont déjà utilisé des domaines ressemblant fortement au véritable nom de SafePal.

Enfin, tout contact inattendu faisant référence à un achat SafePal doit être considéré avec prudence. Cela concerne également les appels, courriers et même les livraisons physiques inattendues.

🔎 Analyse DUC

Cette nouvelle fuite ne compromet pas directement les clés privées selon SafePal. Cependant, l’association entre une identité, une adresse physique et l’achat d’un portefeuille matériel reste particulièrement sensible.

Elle permet potentiellement à un attaquant de savoir qu’une personne possède ou utilise un dispositif destiné à conserver des cryptomonnaies.

Dans la période actuelle, la sécurité doit donc être envisagée dans son ensemble. Protéger une seed ne suffit pas si des données personnelles permettent ensuite de cibler précisément son propriétaire.

La règle reste simple : une seed ne se communique jamais. Aucun fabricant sérieux n’a besoin de vos 12 ou 24 mots pour effectuer une vérification, un remboursement ou une mise à jour.

✍️ DUC
📌 Sources : SafePal — Rapport officiel de sécurité, 16 août 2026 | SafePal — Page officielle de protection contre le phishing