Gli scammer stanno inviando lettere fasulle di SafePal direttamente a casa dei clienti italiani, utilizzando nomi, indirizzi e dettagli degli ordini trapelati a seguito di una violazione che ha messo a rischio quasi 40.000 acquirenti dei wallet hardware crypto dell’azienda.
SafePal afferma che i propri wallet restano sicuri. Il bersaglio, invece, sono i proprietari. Chiunque inserisca la frase di recupero del wallet, ossia le parole di backup che permettono di ripristinarlo su qualsiasi dispositivo, in un sito falso cede tutte le monete contenute nel wallet.
Come funzionano le lettere fasulle di SafePal
Le lettere sostengono che il wallet del destinatario abbia un difetto nel firmware, cioè un problema nel software integrato nel dispositivo.
Un codice QR rimanda a un sito SafePal falso ospitato su Arweave, una rete pensata per archiviare file in modo permanente. Sia la lettera sia il sito mostrano il vero nome, l’indirizzo e i dettagli dell’ordine del cliente.
SafePal ha confermato la truffa su X giovedì ed ha messo in relazione l’accaduto con l’incidente di agosto sui dati.
“Queste lettere NON provengono da SafePal, e l’infrastruttura dei wallet resta sicura. SafePal non invierà mai lettere cartacee e non chiederà mai le frasi seed,” ha spiegato in dettaglio il team.
Ha chiesto ai destinatari di segnalare le lettere nella pagina scam-protection, facendo sì che il QR code sia visibile per poter rimuovere il sito.
Perché la fuga di indirizzi di casa continua a favorire gli scammer
SafePal ha reso noto il 16 agosto che un difetto in un plug-in per il tracking degli ordini ha esposto gli ordini effettuati da 39.798 clienti tra marzo 2025 e aprile 2026.
Sono trapelati nomi, email, indirizzi, numeri di telefono e dettagli degli acquisti. Secondo l’azienda, non sono invece trapelati frasi di recupero, chiavi private né numeri di carte.
BeInCrypto, già all’epoca, aveva segnalato che la violazione di SafePal aveva esposto gli indirizzi, che non scadono.
Anche i clienti Ledger hanno già vissuto questa esperienza. La violazione del 2020 di Ledger aveva divulgato gli indirizzi postali di circa 272.000 utenti e lettere false di Ledger sono arrivate nel 2025.
Il partner per le spedizioni di Trezor ha esposto 13.689 record di clienti in agosto. Né Trezor né SafePal hanno segnalato una violazione dei wallet stessi.
