Een herstelzin kun je vervangen. Een wachtwoord kun je opnieuw instellen. Maar een huisadres kun je niet veranderen. De SafePal-databreach die zondag is bekendgemaakt, maakte bijna 40.000 adressen openbaar.
Drie dagen eerder lekte Trezor nog eens 13.689 adressen. Samen hebben de twee hardware wallet-makers zo 53.487 klantgegevens op straat gelegd. Geen van beide bedrijven verloor ook maar één coin.
Wat de SafePal-databreach heeft blootgelegd
SafePal meldde dat 39.798 klanten zijn getroffen. De gelekte gegevens bevatten namen, e-mails, telefoonnummers, verzendadressen en bestelgegevens.
De oorzaak was een probleem in de plugin die SafePal gebruikt om bestellingen te volgen. Soms kon een klant het account van een andere klant openen.
De getroffen bestellingen zijn gedaan tussen 2 maart 2025 en 11 april 2026. Deze fout was dus meer dan 13 maanden aanwezig.
Herstelzinnen, private keys, bankgegevens en kaartnummers waren veilig. SafePal heeft het probleem opgelost en bewaart nu bestelinformatie nog maar 90 dagen, volgens hun melding.
SafePal Token (SFP) bleef zondag rond $0,23 bewegen. Dat is precies het punt: er is hier financieel niets gebeurd.
Waarom gelekte adressen langer schade veroorzaken dan gelekte wachtwoorden
Trezor hoorde op 10 augustus van zijn eigen klantendatalek. Hun verzendpartner, ShipMonk, was gehackt.
Volledige gegevens van 11.742 Trezor-klanten kwamen op straat te liggen, volgens de mededeling van het bedrijf. Namen, e-mails, telefoonnummers en huisadressen zijn allemaal gelekt.
De twee lekken verschillen in oorzaak. Bij Trezor ontstond het lek bij een leverancier. Bij SafePal gebeurde het via hun eigen systeem.
Maar voor criminelen zijn beide lijsten net zoveel waard. Iemand die een hardware wallet koopt, heeft waarschijnlijk genoeg crypto om het van een exchange te halen.
Deze gegevens zijn dus specifieker dan bij een regulier exchange-lek. Ze koppelen een waarschijnlijke self-custody-houder direct aan een woonadres.
Aanklagers hebben deze aanpak al eerder gezien
In mei maakten Amerikaanse aanklagers bekend dat drie mannen uit Tennessee zijn aangeklaagd voor een $6,5 miljoen overvalgolf in Californië.
Volgens de aanklacht deden deze mannen zich voor als bezorgers om slachtoffers in hun huizen te overvallen.
Een gelekt verzendbewijs geeft de volgende groep criminelen precies dat draaiboek. Het toont de naam, het adres en welke spullen er zijn geleverd.
Phishing is hier het kleinere probleem. SafePal heeft meer dan 30 nepwebsites en scamlinks verwijderd die met de gestolen data te maken hadden.
Echte berichten kwamen van [email protected]. Alles van een ander adres moet je als aanval beschouwen.
Ledger laat zien hoe lang zo’n risico blijft bestaan. Bij de breach van 2020 werden ongeveer 272.000 adressen, namen en telefoonnummers openbaar, volgens de verklaring van het bedrijf.
Zes jaar later waarschuwt Ledger klanten nog steeds voor phishingbrieven via de post. De firma verbindt die brieven niet rechtstreeks met het lek van 2020, maar sluit het niet uit.
Scamwebsites verdwijnen weer. Je inbox krijgt filters. Maar adressen verlopen nooit.
Trezor wil nu anonieme bezorging mogelijk maken. Dat komt in september naar de Europese Unie, en naar de VS voor het einde van het jaar. Maar dat komt te laat voor de 53.487 adressen die nu al circuleren.
