Penipu mengirim surat palsu SafePal ke rumah pelanggan di Italia, menggunakan nama, alamat, dan detail pesanan yang bocor akibat pelanggaran data yang mengekspos hampir 40.000 pembeli wallet hardware aset kripto milik perusahaan ini.
SafePal menyatakan wallet mereka tetap aman. Surat-surat ini justru menargetkan para pemilik wallet. Siapa saja yang memasukkan recovery phrase wallet, yaitu kata cadangan yang dapat memulihkan wallet di perangkat mana pun, ke situs palsu akan kehilangan semua aset kripto di dalam wallet tersebut.
Cara Kerja Surat Palsu SafePal
Surat tersebut mengklaim bahwa wallet penerima memiliki cacat firmware, artinya ada masalah pada perangkat lunak yang tertanam di perangkat.
Sebuah kode QR akan mengarahkan ke situs SafePal palsu yang dihosting di Arweave, sebuah jaringan yang memang dirancang untuk menyimpan file secara permanen. Baik surat maupun situs tersebut menampilkan nama asli, alamat, dan detail pesanan pelanggan.
SafePal menegaskan penipuan ini di X pada Kamis lalu, serta mengaitkannya dengan insiden data yang terjadi pada Agustus lalu.
“Surat-surat ini BUKAN berasal dari SafePal, dan infrastruktur wallet tetap aman. SafePal tidak pernah mengirim surat fisik ataupun meminta seed phrase,” konfirmasi tim SafePal.
Mereka meminta penerima untuk melaporkan surat tersebut melalui halaman perlindungan penipuan, dengan kode QR terlihat agar situs palsu bisa segera diturunkan.
Mengapa Alamat Rumah yang Bocor Terus Dimanfaatkan oleh Penipu
Pada 16 Agustus, SafePal mengungkapkan bahwa sebuah bug pada plug-in pelacakan pesanan telah mengekspos data pesanan dari 39.798 pelanggan antara Maret 2025 dan April 2026.
Nama, email, alamat, nomor telepon, dan detail pembelian telah bocor. Recovery phrase, private key, dan nomor kartu, menurut perusahaan, tidak ikut bocor.
Pada saat itu, BeInCrypto sudah memperingatkan bahwa kebocoran SafePal membongkar alamat rumah, yang memang tidak pernah kedaluwarsa.
Pelanggan Ledger juga pernah mengalami hal serupa. Pada pelanggaran di tahun 2020, alamat pos sekitar 272.000 pengguna ikut bocor, dan surat palsu Ledger pun mulai berdatangan pada tahun 2025.
Partner pengiriman Trezor juga membocorkan 13.689 data pelanggan pada Agustus lalu. Baik Trezor maupun SafePal tidak pernah melaporkan pelanggaran pada wallet mereka sendiri.
