SafePal-Datenleck: 39.798 Kunden, Keys unberührt

SafePal hat am Sonntag, dem 17. August, ein Datenleck gemeldet, bei dem Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen von 39.798 Kunden eingesehen wurden. Seed Phrases, private Schlüssel und Zahlungsdaten waren nicht betroffen; es geht um Bestelldaten aus dem Webshop. Wer zwischen dem 2. März 2025 und dem 11. April 2026 ein Wallet bestellt hat, steht in der Datei. Die Wallets selbst wurden nicht geknackt.

Was genau passiert ist

Die Lücke saß in einem Plug-in zur Bestellverfolgung. Wer die Bestellnummer im Link änderte, konnte die Bestellung eines anderen abrufen — Name, Adresse, Telefonnummer, bestellte Ware. Der Kassenbon eines Fremden, im Grunde, aber zehntausendfach.

SafePal erklärt, die Lücke geschlossen, unabhängige Auditoren beauftragt, die Aufbewahrungsfrist für Bestelldaten auf 90 Tage verkürzt und über dreißig betrügerische Websites und Phishing-Links entfernen lassen zu haben. Betroffene Kunden wurden von security@safepal.com benachrichtigt.

Warum das gefährlich ist, auch ohne gestohlene Keys

„Es wurden keine Keys erbeutet" klingt beruhigend und ist es nur halb. Was hier sehr wohl abgeflossen ist, ist eine Liste von Menschen, bei denen feststeht, dass sie Kryptowerte halten — samt Wohnanschrift und Telefonnummer. Genau auf diese Datei warten zwei Sorten von Angreifern.

Die erste ist Phishing. Eine Nachricht, die Ihren Vornamen, Ihr Wallet-Modell und Ihren Bestellmonat kennt, wirkt deutlich glaubwürdiger als die Standardmail, die jeder erkennt. SafePal warnt selbst vor Anrufen, SMS, Rückerstattungsangeboten und gefälschtem Support. Laut The Record werden die Daten bereits in Darknet-Foren angeboten.

Die zweite ist körperlich. CertiK zählte im ersten Halbjahr 2026 ein Drittel mehr sogenannte Wrench Attacks — Überfälle auf Menschen, von denen bekannt ist, dass sie Kryptowerte halten — mit einem Schaden von 124 Millionen Dollar. Eine Adressliste von Wallet-Käufern ist dafür brauchbares Material.

Die dritte Wallet-Marke in kurzer Zeit

SafePal steht nicht allein. Auch Trezor und Coinkite, der Hersteller der Coldcard, hatten in den vergangenen Wochen Vorfälle. Bei Coldcard ging es weiter als um Daten: Ein Firmware-Fehler machte Seeds erratbar, woraufhin 1.367 Bitcoin gestohlen wurden und der Zähler später auf 1.816 Bitcoin stieg.

Der Unterschied ist wesentlich. Bei Coldcard lag das Problem im Gerät, und es verschwand Geld. Bei SafePal lag es im Shop drumherum, und es verschwanden Informationen. Beides gehört in dieselbe Risikoabwägung: Einem Hardware Wallet vertrauen Sie nicht nur Ihre Keys an, sondern auch Ihre Adressdaten.

Was Sie jetzt tun

• Gehen Sie davon aus, dass jede Nachricht zu Ihrer Wallet-Bestellung gefälscht ist, bis Sie das Gegenteil festgestellt haben. Rufen Sie nie über Kontaktdaten zurück, die in der Nachricht selbst stehen.
• Geben Sie Ihre Seed Phrase nirgends ein. Kein Hersteller, kein Händler und kein Support-Mitarbeiter fragt jemals danach — das ist die einzige Regel, die Sie sich merken müssen.
• Haben Sie Ihre Seed nach einer Mail oder einem Anruf bereits eingegeben, behandeln Sie das Wallet als kompromittiert und übertragen Sie Ihr Guthaben auf ein neues Wallet mit frischer Seed. Das empfiehlt auch SafePal selbst.
• Wenn Sie ein neues Wallet bestellen, schauen Sie, welche Daten der Händler speichert und wie lange. Hardware Wallets bei BTC Direct Shop stellt elf Marken nebeneinander.

Was sich damit nicht beheben lässt: Ihre Adresse ist bereits abgeflossen, und das nehmen Sie nicht zurück. Der einzige Hebel in Ihrer Hand ist, wie Sie auf Kontaktversuche reagieren.

Häufige Fragen

Sind meine Kryptowerte weg, wenn ich in der Datei stehe? Nein. Laut SafePal wurden keine Seed Phrases, privaten Schlüssel, Bankdaten, Kartennummern oder Ausweisdokumente eingesehen. Ihr Guthaben ist davon unberührt.

Woran erkenne ich, ob ich betroffen bin? SafePal hat betroffene Kunden von security@safepal.com angeschrieben. Es geht um Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026. Klicken Sie nicht auf Links in einer solchen Mail, sondern gehen Sie selbst auf die Website.

Muss ich mein Wallet ersetzen? Nur, wenn Sie Ihre Seed Phrase weitergegeben haben. Das Gerät selbst ist bei diesem Vorfall nicht betroffen.

Warum ist ein Adressleck schlimmer, als es aussieht? Weil es bestätigt, dass Sie Kryptowerte besitzen — und wo Sie wohnen. Diese Kombination erleichtert sowohl gezieltes Phishing als auch einen Überfall.

Quellen und Prüfung

Fakten am 18. August 2026 anhand zweier unabhängiger Quellen geprüft: CoinDesk (16. August 2026, für die exakte Zahl 39.798 und die Aufzählung der nicht betroffenen Daten) und The Record (17. August 2026, für die Art der Lücke, das Darknet-Angebot und die CertiK-Zahlen zu Wrench Attacks). Opferzahlen steigen in der ersten Berichterstattung häufig noch; wir aktualisieren diesen Artikel, sobald SafePal eine neue Angabe macht.

Investitionen in Kryptowerte sind mit Risiken verbunden. Der Wert kann stark schwanken, und Sie können Ihren Einsatz ganz oder teilweise verlieren. Dieser Artikel ist eine Information und keine Anlage-, Steuer- oder Rechtsberatung.

Diese Seite enthält Affiliate-Links. Wenn Sie sie nutzen, kann CryptoPromo eine Vergütung erhalten. Für Sie entstehen dadurch keine Mehrkosten, und der Inhalt dieser Seite wird davon nicht bestimmt.