Chi possiede un hardware wallet, uno di quei dispositivi fisici pensati per custodire le criptovalute nel modo più sicuro possibile, in questi giorni potrebbe aver ricevuto una comunicazione preoccupante. SafePal, uno dei principali produttori di questi dispositivi, ha annunciato di aver subito una violazione dei dati che ha esposto le informazioni personali di quasi 40.000 clienti. Ma attenzione, perché il titolo giusto per questa notizia non è "i wallet SafePal sono stati hackerati", e capire la differenza è fondamentale.
Perché i portafogli, le chiavi di accesso e soprattutto i fondi dei clienti sono al sicuro, non sono stati toccati. Ciò che è stato esposto è qualcos'altro, altrettanto delicato ma diverso: l'identità delle persone che hanno acquistato questi dispositivi. E questo apre un capitolo importantissimo sulla sicurezza nel mondo crypto, che va ben oltre la protezione delle sole chiavi. Vediamo cosa è successo e, soprattutto, perché ci riguarda tutti.
Cosa è successo davvero
Chiariamo subito i fatti, perché la precisione qui è tutto. La falla non ha riguardato i dispositivi SafePal, né il loro software, né tantomeno le criptovalute custodite. Il problema è nato da uno strumento accessorio: un plugin usato sul sito per tracciare gli ordini, cioè per permettere ai clienti di seguire la spedizione del loro acquisto. Un difetto in questo strumento ha permesso ad accessi non autorizzati di visualizzare le informazioni sugli ordini di altri clienti.
I dati esposti riguardano circa 39.798 persone che avevano effettuato un ordine tra il marzo 2025 e l'aprile 2026, e comprendono nome, indirizzo email, indirizzo di spedizione, numero di telefono e dettagli sull'acquisto. La cosa più importante, che SafePal ha ribadito con forza, è cosa NON è stato compromesso: le "seed phrase" (le parole segrete di recupero), le chiavi private, le password dei wallet, i dati bancari e delle carte. Queste informazioni, semplicemente, l'azienda non le raccoglie nemmeno, e i fondi dei clienti sono rimasti al sicuro. La società ha corretto la falla, rimosso oltre trenta siti di phishing collegati e avvisato tutti i clienti coinvolti.
Dear community,
— SafePal - Crypto Wallet (@SafePal) August 16, 2026
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
Perché non è "un wallet hackerato" ma è comunque grave
Ed eccoci al punto cruciale, quello che distingue una comprensione superficiale da una corretta. Se i fondi sono al sicuro, perché preoccuparsi? Perché il tipo di dati esposti è il carburante perfetto per attacchi mirati e insidiosi. Sapere il nome di una persona, il suo indirizzo di casa, il suo telefono e soprattutto il fatto che ha comprato un dispositivo per custodire criptovalute, permette ai criminali di costruire truffe estremamente credibili e personalizzate.
Il pericolo principale si chiama "spear phishing", cioè un attacco di inganno cucito su misura sulla vittima. Immaginate di ricevere una email, o addirittura una telefonata o una lettera, da qualcuno che conosce il vostro nome, sa che avete comprato proprio quel modello di wallet e vi avvisa di un finto problema di sicurezza, invitandovi a "verificare" o "aggiornare" il dispositivo inserendo le vostre parole segrete. Un inganno del genere, reso credibile da dati reali, è molto più pericoloso di una email di truffa generica. E non è teoria: già a maggio, un cliente aveva segnalato di aver ricevuto proprio un tentativo di questo tipo, con una finta richiesta di aggiornamento del firmware.
Cosa è a rischio e cosa no
La violazione SafePal in sintesi. Fonte: SafePal, CoinDesk, 2026
- Al sicuro: seed phrase, chiavi private, password dei wallet e fondi. Non toccati, non raccolti dall'azienda.
- Esposti: nome, email, telefono, indirizzo di spedizione e dettagli dell'acquisto di quasi 40.000 clienti.
- Il rischio vero: phishing mirato e, per gli indirizzi noti, anche la sicurezza fisica della persona.
La tesi più grande: le chiavi sicure non bastano
Questa vicenda, insieme a un caso quasi identico che ha colpito un altro noto produttore poche settimane fa, ci insegna una lezione profonda sulla sicurezza crypto. Per anni il mantra è stato: proteggi le tue chiavi private, tieni al sicuro la tua seed phrase, e i tuoi soldi saranno inattaccabili. È vero, e resta il fondamento di tutto. Ma è una verità incompleta. Perché la sicurezza delle chiavi non protegge l'identità del loro proprietario.
Il paradosso è evidente: la filosofia della "self-custody", cioè custodire da sé le proprie criptovalute con un dispositivo fisico, protegge magnificamente il denaro dagli attacchi digitali. Ma il momento stesso in cui compri quel dispositivo, lasci una traccia, il tuo nome e il tuo indirizzo, nei sistemi di un'azienda, di un corriere, di un negozio online. E quella traccia, come dimostra questo caso, può essere esposta attraverso l'anello più debole della catena, come un banale plugin per il tracciamento degli ordini. Un caso analogo, avvenuto anni fa a un altro produttore, portò addirittura a minacce fisiche contro i clienti i cui indirizzi erano stati diffusi. La sicurezza delle chiavi e la sicurezza della persona sono due cose diverse, ed è ora di prendersi cura di entrambe. Ne avevamo parlato anche a proposito del recente caso che ha coinvolto un altro produttore di wallet.
Come proteggersi, in concreto
Veniamo alla parte pratica, quella che ti mette al riparo. Se sei un cliente SafePal, o anche solo un possessore di criptovalute, ci sono regole d'oro da seguire, oggi più che mai. La prima e più importante: nessuna azienda seria ti chiederà mai le tue parole segrete di recupero o le tue chiavi private, per nessun motivo, né via email, né al telefono, né con una lettera. Se qualcuno lo fa, è al 100% una truffa, punto. Diffida di qualsiasi comunicazione, anche se conosce i tuoi dati, che ti spinge con urgenza a "verificare", "aggiornare" o "sbloccare" qualcosa.
In pratica: non cliccare sui link contenuti in email o messaggi inattesi sui tuoi ordini, ma digita sempre tu l'indirizzo del sito ufficiale nel browser. Ignora le telefonate che ti chiedono azioni urgenti sul tuo wallet. E ricorda che, poiché le tue chiavi non sono state compromesse, non è necessario spostare i tuoi fondi solo a causa di questa violazione: farlo frettolosamente potrebbe anzi esporti a nuovi errori. L'unico caso in cui devi agire subito è se hai già, per sbaglio, comunicato le tue parole segrete a qualcuno: in quel caso, trasferisci immediatamente i fondi su un nuovo wallet. Per capire meglio come custodire in sicurezza le tue crypto, puoi leggere la nostra guida alla custodia.
SafePal (hardware wallet) had a breach and says it's not their responsibility
by u/yphase in CryptoCurrency
La lettura più grande
La violazione di SafePal è molto più di un semplice incidente tecnico: è un promemoria di come la sicurezza, nel mondo delle criptovalute, sia una catena fatta di molti anelli, e non solo di quello, pur fondamentale, delle chiavi private. Possiamo custodire le nostre monete nel dispositivo più sicuro del mondo, ma se la nostra identità di possessori viene esposta attraverso i sistemi accessori di un'azienda, diventiamo comunque un bersaglio. La sicurezza digitale e quella personale sono ormai inseparabili.
Per l'utente, la lezione è duplice e preziosa. Da un lato, è un invito a estendere la propria consapevolezza sulla sicurezza: non basta proteggere le chiavi, bisogna essere vigili anche su come e dove si lasciano i propri dati personali. Dall'altro, è un monito per l'intero settore, che deve imparare a proteggere non solo gli asset digitali dei clienti, ma anche la loro identità e la loro privacy, con la stessa cura. In un'epoca in cui possedere criptovalute può fare di noi un bersaglio, la protezione dei dati personali non è un dettaglio secondario, ma una parte essenziale della sicurezza. E questa vicenda, per fortuna senza conseguenze sui fondi, ci offre l'occasione di imparare la lezione prima che sia troppo tardi.
