Fuite de données chez SafePal : près de 40 000 clients touchés

Coffre-fort intact, porte d’entrée grande ouverte. SafePal, le portefeuille crypto soutenu par Binance, a confirmé le 16 août avoir subi une fuite de données touchant près de 40 000 clients. La marque rejoint ainsi une liste qui s’allonge, après la fuite Trezor révélée quelques mois plus tôt. Pas question ici de clés privées envolées. La faille vient d’ailleurs, de ces sous-traitants logistiques que même les portefeuilles les mieux blindés doivent forcément déléguer.

SafePal : une faille dans le suivi de commandes, pas dans le wallet

L’entreprise a identifié une faille d’autorisation dans son plug-in de suivi de commandes : un client pouvait, sans le vouloir ni le savoir, consulter les données d’un autre. Résultat, environ 39 798 clients ayant commandé entre mars 2025 et avril 2026 ont vu fuiter leur nom, leur email, leur adresse de livraison, leur numéro de téléphone et le détail de leurs achats, d’après The Block. Aucune coordonnée bancaire, aucun numéro de carte, aucune pièce d’identité n’a fuité. Et surtout, ni les clés privées, ni les phrases de récupération (seed phrases), ni les fonds des utilisateurs n’ont été touchés. La faille logeait ailleurs. Pas dans le coffre.

SafePal dit avoir corrigé le problème et renforcé ses contrôles. L’entreprise a aussi fait tomber plus de 30 faux sites montés dans la foulée pour piéger les clients inquiets, et a prévenu les personnes concernées par email. Chacun peut vérifier son statut avec son numéro de commande et son pays de livraison.

« Bien que votre portefeuille SafePal, votre phrase de récupération et vos clés privées soient sécurisés, nous avons identifié une faille dans l’extension de suivi des commandes qui a permis un accès non autorisé aux informations d’un sous-ensemble de clients.»

SafePal – Source

Le vrai danger commence maintenant, pas le jour de la fuite

Voilà le paradoxe de ce genre d’incident. La fuite elle-même ne coûte rien à personne, mais elle arme des campagnes de phishing qui, elles, peuvent coûter cher. Un email qui connaît votre nom, votre adresse et votre historique d’achat SafePal a toutes les chances de sonner authentique. SafePal, dans son communiqué officiel du 16 août, a d’ailleurs alerté ses utilisateurs sur ce risque précis : gare aux messages qui demandent une phrase de récupération sous prétexte de « vérification de sécurité » post-incident. Aucune entreprise sérieuse ne la demande, jamais, sous aucun prétexte.

SafePal, Trezor, Bits of Gold : même semaine, même maillon faible

Ce n’est pas un cas isolé. La même semaine, le courtier israélien Bits of Gold a annoncé une fuite touchant 200 000 clients, via un prestataire logiciel tiers déjà lié aux incidents SafePal et Trezor. Trois portefeuilles, trois marques différentes, un point commun : la brèche ne vient jamais du hardware ni du protocole, mais d’un sous-traitant quelque part dans la chaîne. Les fabricants ont beau blinder le silicium, ils délégueront encore leur logistique et leur suivi de commandes à des tiers qui n’ont pas les mêmes standards de sécurité.