SafePal mengonfirmasi bahwa informasi berikut ini dapat diakses oleh pihak tidak bertanggung jawab selama periode eksposur :
SafePal secara tegas menyatakan bahwa data sensitif berikut ini tidak diakses, karena perusahaan tidak pernah mengumpulkan atau menyimpan informasi semacam itu dari pelanggan :
Perusahaan juga memastikan tidak ada bukti yang menunjukkan insiden ini membahayakan akses ke dompet atau dana SafePal .
SafePal mengidentifikasi celah otorisasi pada plugin pelacakan pesanannya — sebuah komponen yang digunakan untuk memantau pesanan pelanggan . Kerentanan ini memungkinkan plugin tersebut untuk membuat satu pelanggan bisa melihat data pesanan pelanggan lain tanpa otorisasi yang semestinya . Masalah ini telah diperbaiki setelah ditemukan, dan SafePal menyatakan telah memberlakukan langkah-langkah keamanan tambahan .
Kebocoran ini mencakup pesanan yang dilakukan selama kurang lebih 13 bulan, dari 2 Maret 2025 hingga 11 April 2026 . SafePal mengungkapkan insiden ini melalui unggahan di X (Twitter) dan pembaruan keamanan di blog resminya pada 16 Agustus 2026 .
Meskipun dompet dan dana SafePal tetap aman, data yang terekspos sangat menarik bagi para penjahat siber. Nama, alamat fisik, dan riwayat pembelian yang terverifikasi menjadi bahan bakar ideal untuk serangan phishing yang ditargetkan, peniruan identitas, dan upaya pencurian identitas .
SafePal memperingatkan pengguna yang terdampak untuk tetap waspada terhadap upaya phishing dan peniruan identitas . Pengamat industri mencatat bahwa lebih dari 30 situs phishing telah dikaitkan dengan kebocoran ini . Risikonya semakin besar karena data tersebut mengonfirmasi bahwa korban memiliki model dompet perangkat keras tertentu, lengkap dengan alamat pengirimannya, sehingga memungkinkan penipuan yang sangat meyakinkan.
SafePal telah memberitahu pelanggan yang terdampak melalui email dan menyediakan halaman verifikasi resmi di mana pelanggan dapat memeriksa status mereka menggunakan nomor pesanan dan negara pengiriman .
Kebocoran SafePal adalah yang ketiga dalam waktu sekitar seminggu dan mengikuti pola kebocoran besar Ledger tahun 2020.
Volume: Kebocoran Ledger 2020 jauh lebih besar (1 juta email vs. 40.000 SafePal dan ~14.000 Trezor), dan datanya dibagikan secara aktif di forum peretas, yang menyebabkan serangan phishing bertahun-tahun .
Vektor serangan: Setiap kebocoran memiliki asal yang berbeda — Ledger karena kunci API yang dibobol; Trezor karena kebocoran di penyedia logistik pihak ketiga; SafePal karena celah otorisasi di plugin internalnya sendiri .
Yang tetap aman di ketiga insiden: Dalam setiap kasus, seed phrase, kunci privat, dan dana dompet tidak dibobol, dan tidak ada mata uang kripto curian yang secara langsung terkait dengan kebocoran tersebut .
Dampak gabungan: Jangka waktu tiga hari antara kebocoran Trezor (13 Agustus) dan SafePal (16 Agustus) menempatkan lebih dari 53.000 catatan pelanggan hardware wallet ke publik, meningkatkan risiko phishing secara keseluruhan bagi komunitas kripto .
SafePal mengonfirmasi bahwa informasi berikut ini dapat diakses oleh pihak tidak bertanggung jawab selama periode eksposur :
SafePal secara tegas menyatakan bahwa data sensitif berikut ini tidak diakses, karena perusahaan tidak pernah mengumpulkan atau menyimpan informasi semacam itu dari pelanggan :
Perusahaan juga memastikan tidak ada bukti yang menunjukkan insiden ini membahayakan akses ke dompet atau dana SafePal .
SafePal mengidentifikasi celah otorisasi pada plugin pelacakan pesanannya — sebuah komponen yang digunakan untuk memantau pesanan pelanggan . Kerentanan ini memungkinkan plugin tersebut untuk membuat satu pelanggan bisa melihat data pesanan pelanggan lain tanpa otorisasi yang semestinya . Masalah ini telah diperbaiki setelah ditemukan, dan SafePal menyatakan telah memberlakukan langkah-langkah keamanan tambahan .
Kebocoran ini mencakup pesanan yang dilakukan selama kurang lebih 13 bulan, dari 2 Maret 2025 hingga 11 April 2026 . SafePal mengungkapkan insiden ini melalui unggahan di X (Twitter) dan pembaruan keamanan di blog resminya pada 16 Agustus 2026 .
Meskipun dompet dan dana SafePal tetap aman, data yang terekspos sangat menarik bagi para penjahat siber. Nama, alamat fisik, dan riwayat pembelian yang terverifikasi menjadi bahan bakar ideal untuk serangan phishing yang ditargetkan, peniruan identitas, dan upaya pencurian identitas .
SafePal memperingatkan pengguna yang terdampak untuk tetap waspada terhadap upaya phishing dan peniruan identitas . Pengamat industri mencatat bahwa lebih dari 30 situs phishing telah dikaitkan dengan kebocoran ini . Risikonya semakin besar karena data tersebut mengonfirmasi bahwa korban memiliki model dompet perangkat keras tertentu, lengkap dengan alamat pengirimannya, sehingga memungkinkan penipuan yang sangat meyakinkan.
SafePal telah memberitahu pelanggan yang terdampak melalui email dan menyediakan halaman verifikasi resmi di mana pelanggan dapat memeriksa status mereka menggunakan nomor pesanan dan negara pengiriman .
Kebocoran SafePal adalah yang ketiga dalam waktu sekitar seminggu dan mengikuti pola kebocoran besar Ledger tahun 2020.
Volume: Kebocoran Ledger 2020 jauh lebih besar (1 juta email vs. 40.000 SafePal dan ~14.000 Trezor), dan datanya dibagikan secara aktif di forum peretas, yang menyebabkan serangan phishing bertahun-tahun .
Vektor serangan: Setiap kebocoran memiliki asal yang berbeda — Ledger karena kunci API yang dibobol; Trezor karena kebocoran di penyedia logistik pihak ketiga; SafePal karena celah otorisasi di plugin internalnya sendiri .
Yang tetap aman di ketiga insiden: Dalam setiap kasus, seed phrase, kunci privat, dan dana dompet tidak dibobol, dan tidak ada mata uang kripto curian yang secara langsung terkait dengan kebocoran tersebut .
Dampak gabungan: Jangka waktu tiga hari antara kebocoran Trezor (13 Agustus) dan SafePal (16 Agustus) menempatkan lebih dari 53.000 catatan pelanggan hardware wallet ke publik, meningkatkan risiko phishing secara keseluruhan bagi komunitas kripto .