Der Hardware-Wallet-Hersteller SafePal hat eine Sicherheitslücke offengelegt, durch die persönliche Daten von rund 40.000 Kunden einsehbar waren. Damit reiht sich das Unternehmen in eine Serie von Vorfällen bei Anbietern von Krypto-Hardware-Wallets ein. Besonders brisant: Während es bei SafePal vor allem um Kundendaten geht, haben andere aktuelle Schwachstellen in der Branche bereits zu direkten Krypto-Diebstählen in dreistelliger Millionenhöhe geführt.
SafePal: Zwei Fehler führten zur Offenlegung von Kundendaten
Nach Angaben von SafePal entstand der Vorfall in der hauseigenen E-Commerce-Infrastruktur. Auslöser war ein Autorisierungsfehler im System zur Bestellverfolgung. Dadurch konnten Unbefugte auf Kundendaten zugreifen, die Bestellungen im Zeitraum vom 2. März 2025 bis 11. April 2026 betrafen.
Zu den offengelegten Informationen gehörten Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Bestelldetails. SafePal betonte jedoch, dass Private Keys, Recovery-Phrasen, Wallet-Passwörter, Kreditkartendaten und der direkte Zugriff auf Wallets nicht betroffen gewesen seien. Auch gebe es bislang keine Hinweise darauf, dass über diese Schwachstelle Kryptowährungen gestohlen wurden.
Allerdings blieb es nicht bei diesem einen Fehler. SafePal erklärte außerdem, dass ein separater Konfigurationsfehler einen geplanten Bereinigungsprozess zwischen September 2025 und April 2026 gestört habe. Dadurch wurden ältere Bestelldaten länger gespeichert als vorgesehen. Genau dieser zweite Fehler vergrößerte die Menge der verfügbaren Daten und weitete den betroffenen Zeitraum bis auf März 2025 aus.
Das ist auch deshalb heikel, weil SafePal früher erklärt hatte, Informationen zu ausgelieferten Hardware-Wallet-Bestellungen würden nach 30 Tagen gelöscht. Tatsächlich blieben Datensätze durch den ausgefallenen Löschprozess deutlich länger im System erhalten.
Unterm Strich kamen also zwei Versäumnisse zusammen: Ein Mechanismus schützte die Daten nicht ausreichend vor unbefugtem Zugriff, und ein anderer sorgte nicht dafür, dass alte Daten rechtzeitig gelöscht wurden.
Hardware-Wallet-Branche unter Druck: Von Datenlecks bis zu Bitcoin-Diebstahl
Der Vorfall bei SafePal ist kein Einzelfall. In den vergangenen Wochen und Monaten gerieten auch andere bekannte Anbieter unter Druck. Trezor meldete, dass bei einem Versanddienstleister persönliche Daten von fast 14.000 Kunden offengelegt wurden. Ledger war ebenfalls von einer Bestelldaten-Panne bei einem externen Zahlungsdienstleister betroffen.
Am schwerwiegendsten ist bislang aber der Fall Coldcard. Dort führte eine Schwäche bei der Schlüsselerzeugung dazu, dass Angreifer Bitcoin von betroffenen Adressen abziehen konnten. Laut Bericht summierten sich die Verluste auf mehr als 100 Millionen US-Dollar. Die Attacken liefen in mehreren Wellen seit Ende Juli.
Damit zeigt sich: Die Risiken rund um Hardware-Wallets gehen inzwischen über klassische Datenlecks hinaus. Während SafePal, Trezor und Ledger vor allem mit offengelegten Kundendaten kämpfen, hat Coldcard bereits einen Fall erlebt, bei dem Nutzer direkt Geld verloren haben.
Warum geleakte Kundendaten für Krypto-Nutzer besonders gefährlich sind
Auch wenn bei SafePal keine Wallet-Schlüssel kompromittiert wurden, ist der Vorfall keineswegs harmlos. Denn Daten wie Name, Telefonnummer, E-Mail-Adresse und Wohnanschrift können gezielt für Phishing, Social Engineering und Identitätsbetrug genutzt werden. SafePal selbst warnte nach dem Vorfall vor solchen Risiken und erklärte, bereits mehr als 30 betrügerische Webseiten und Phishing-Links entfernt zu haben.
Besonders sensibel sind dabei Lieferadressen. Sie verraten potenziell, wo Menschen leben, die eine Hardware-Wallet gekauft haben und damit wahrscheinlich Kryptowährungen besitzen. In der Krypto-Szene wächst deshalb die Sorge vor sogenannten Wrench Attacks – also physischen Übergriffen, Entführungen oder Hauseinbrüchen, bei denen Opfer zur Herausgabe ihrer Coins gezwungen werden.
Laut Chainalysis verursachten solche Angriffe im ersten Halbjahr 2026 bereits rund 30 Millionen US-Dollar an gemeldeten Schäden. Für das Gesamtjahr 2025 lag der Rekordwert bei 58 Millionen US-Dollar. Zudem machten Hausüberfälle 37 Prozent der erfassten gewaltsamen Krypto-Angriffe im Jahr 2026 aus, während Entführungen mehr als die Hälfte der gemeldeten Fälle stellten.
Die aktuelle Serie von Vorfällen zeigt deshalb ein grundlegendes Problem: Hardware-Wallets schützen zwar die privaten Schlüssel, aber nicht automatisch das gesamte Umfeld der Selbstverwahrung. Nutzer bleiben weiterhin angreifbar – etwa über fehlerhafte Firmware, undichte Kundendatenbanken oder Schwachstellen bei Dienstleistern rund um Bestellung, Versand und Zahlung.
Für Krypto-Anleger bedeutet das: Eine Hardware-Wallet bleibt zwar ein wichtiges Sicherheitswerkzeug, ist aber keine alleinige Schutzgarantie. Wer seine Coins selbst verwahrt, muss heute nicht nur an technische Sicherheit denken, sondern auch an Datenschutz, Phishing-Abwehr und im Extremfall sogar an die eigene physische Sicherheit.
