SafePal: cartas falsas con QR piden la frase semilla a clientes de la filtración de 39.798 compradores

Clientes de SafePal están recibiendo en casa cartas falsas que imitan a la marca, avisan de un supuesto fallo de firmware y traen un código QR que lleva a una página que pide la frase semilla. Los estafadores usan los datos de la filtración que SafePal informó en agosto, que expuso nombre, dirección y compras de unos 39.798 clientes. SafePal confirmó la ola de cartas el 12 de noviembre y pide no escanear el código. Si compraste una SafePal entre marzo de 2025 y abril de 2026, esto te interesa.

Qué pasó

SafePal publicó el 12 de noviembre una actualización en su página sobre la filtración de datos. Allí dice que sabe de «una ola» de cartas físicas de phishing enviadas a los clientes afectados. Según la empresa, las cartas describen sobre todo supuestos problemas de seguridad del firmware u otras afirmaciones falsas, y piden escanear un QR que lleva a un sitio de phishing.

Los casos conocidos hasta ahora son de Italia. Según Bitcoin.com News, que cita al medio italiano criptovaluta.it, las cartas llegan a la dirección de cada cliente con su nombre completo, datos de su pedido y un QR personalizado. El código abre una copia falsa del sitio de SafePal alojada en Arweave, una red de almacenamiento descentralizada, que muestra los datos reales de la compra para parecer creíble. Según CriptoNoticias, esa página pide la frase de recuperación. Por ahora no hay montos robados confirmados.

De dónde salieron tus datos

SafePal informó el 16 de agosto de 2026 que un fallo de autorización en la función de seguimiento de pedidos de un plugin permitió ver pedidos de otros clientes. Según la empresa, quedaron expuestos el nombre, el correo, la dirección de envío, el teléfono y el detalle de compra de unos 39.798 clientes que hicieron pedidos entre el 2 de marzo de 2025 y el 11 de abril de 2026.

SafePal aclara que no se expusieron frases semilla, claves privadas, contraseñas de billetera, cuentas bancarias, tarjetas ni documentos de identidad. Dice que no encontró pruebas de que el incidente diera acceso a billeteras o fondos. El 30 de octubre informó que la empresa Cure53 auditó su sistema de comercio electrónico y no halló vulnerabilidades, y que contrató a Phishfort para detectar dominios falsos.

En otras palabras, tu billetera no fue vulnerada por la filtración. El riesgo es que alguien sabe que tienes una SafePal y dónde vives, y lo usa para engañarte.

Cómo reconocer la carta falsa

• Llega por correo postal. En su página antiestafas, SafePal es tajante: «SafePal nunca enviará cartas físicas a sus usuarios bajo ninguna circunstancia».
• Habla de urgencia. Según SafePal, los pretextos más usados son una «vulnerabilidad crítica de seguridad en el firmware del dispositivo» o un «reemplazo o reembolso gratuito del dispositivo».
• Trae un código QR. SafePal pide no escanear ningún QR que llegue en una carta.
• Tiene tus datos reales. Tu nombre, tu dirección y tu compra no prueban que sea legítima: salen de la filtración.
• Te pide la frase de recuperación. SafePal dice que nunca pedirá tu frase de 12 o 24 palabras, tu PIN ni tus claves privadas.
• La página no está en safepal.com. Escribe siempre la dirección oficial a mano en lugar de seguir enlaces o códigos.

Qué hacer si ya escaneaste el QR

1. No escribas nada. Si solo abriste la página, ciérrala sin ingresar datos. SafePal pide no introducir información en el sitio enlazado.
2. Si escribiste tu frase, aunque sea una parte, actúa de inmediato. SafePal indica tratar esa billetera como comprometida, crear una billetera nueva y mover tus activos a ella.
3. Crea la frase nueva en un entorno limpio y no la escribas en ningún sitio web ni la fotografíes.
4. Reporta la carta. SafePal tiene un formulario en su página antiestafas para subir una foto de la carta o la imagen del QR.
5. Si temes por tu seguridad física, denuncia ante las autoridades locales. Es la recomendación de SafePal, ya que los estafadores conocen tu dirección.
6. Desconfía de quien te contacte después. Según SafePal, la empresa nunca te contactará primero ni te llamará por teléfono.

Las cartas falsas no son nuevas: los clientes de otras marcas de billeteras físicas ya las recibieron en el pasado tras filtraciones parecidas. Y esta semana Trezor confirmó otro riesgo ligado a la compra: tres Trezor Safe 5 vendidas por un revendedor con un implante espía. Si quieres comparar marcas antes de tu próxima compra, revisa nuestra guía para elegir billetera física en 2026.

Qué falta saber

SafePal no dice cuántas cartas se enviaron, en qué países además de Italia ni si algún cliente perdió fondos. Tampoco hay datos sobre quién está detrás del envío ni si las autoridades italianas abrieron una investigación. Mientras tanto, la regla es simple: ninguna empresa legítima te pedirá tu frase semilla, y menos por correo postal.