SafePal Krypto-Wallet: Sicherheitswarnung vor gefälschten Briefen mit echten Bestelldaten

Es gibt eine neue Betrugsmasche im Kryptomarkt – und diesmal trifft es Käufer der Hardware-Wallets von SafePal. Anfang August 2026 haben mehrere Nutzer im deutschsprachigen Raum Briefe erhalten, die aussehen wie offizielle Post des Herstellers. Das eigentlich Beunruhigende daran ist nicht der Brief selbst, sondern das, was drinsteht: die vollständige Anschrift, die echte Bestellnummer, das Bestelldatum, der bezahlte Preis, das genaue Modell – und die Seriennummer des Geräts.

Wer so einen Brief bekommt, hat keinen Grund zu zweifeln. Genau das macht diese Masche so gefährlich. Ich zeige dir in diesem Artikel, was da gerade passiert, warum dieser Fall eine neue Qualität hat, an welchen fünf Merkmalen du jeden Wallet-Betrug erkennst und was du tun solltest, wenn ein solcher Brief bei dir im Briefkasten liegt.

Was genau passiert gerade?

Betroffene Nutzer berichten von einem Brief, der optisch und sprachlich wie offizielle Herstellerpost daherkommt. Kein gebrochenes Deutsch, keine krummen Formulierungen, keine offensichtlichen Layout-Fehler – sondern ein sauber gesetztes Schreiben, das den Empfänger auf ein angebliches Sicherheitsproblem mit seinem Gerät hinweist.

Der Inhalt liest sich in etwa so: Es gebe ein Problem mit einer bestimmten Charge, dein Gerät sei betroffen, du sollest über den beigefügten QR-Code den weiteren Ablauf starten. Zur Bestätigung, dass es wirklich um dein Gerät geht, stehen im Brief:

• deine vollständige Anschrift
• die Bestellnummer und das Bestelldatum
• der bezahlte Kaufpreis und teilweise der Bezahlvorgang
• das genaue Wallet-Modell
• die Seriennummer bzw. Geräte-ID

In einem der gemeldeten Fälle hatte ein Nutzer insgesamt 18 Wallets für sich und seine Familie bestellt – und im Schreiben standen sämtliche Seriennummern samt Bestelldaten korrekt aufgelistet. Das ist keine Zufallsstichprobe aus einem alten Adresshandel, das ist ein präziser Auszug aus einer Bestelldatenbank.

Warum dieser Fall eine neue Qualität hat

Phishing-Briefe an Hardware-Wallet-Besitzer sind leider nichts Neues. Neu ist der Detailgrad der Daten.

Bei den bekannten Wellen gegen Ledger- und Trezor-Nutzer stammten die Empfängerdaten aus zwei Quellen: aus alten Datenlecks bei den Herstellern selbst – bei Ledger wurden 2020 unter anderem rund 270.000 Datensätze mit Postanschriften öffentlich, bei Trezor waren Anfang 2024 nach Unternehmensangaben rund 66.000 Kontaktdatensätze über die Support-Plattform betroffen – und aus Leaks bei Versanddienstleistern. Damit kannten die Täter Name und Adresse, mehr aber meist nicht. Ihre Briefe mussten deshalb allgemein bleiben.

Der aktuelle Fall ist anders. Wenn ein Betrüger die Seriennummer des Geräts, den Kaufpreis und den Zahlungsvorgang kennt, dann hat er keine Adressliste vom Paketdienst – dann hat er Zugriff auf die Bestell- und Versanddaten selbst gehabt. Das lässt im Kern zwei Erklärungen zu: einen umfassenden Datenabfluss beim Anbieter oder einen Zugriff von innen. Beides ist bislang nicht bestätigt, aber beides würde erklären, warum diese Briefe so präzise sind.

Für dich als Empfänger ist der Unterschied entscheidend: Die üblichen Erkennungsmerkmale greifen hier nicht. Es gibt keine falsche Anrede, keinen Zahlendreher, keinen offensichtlich unpassenden Gerätetyp. Der Brief bestätigt dir Dinge, die außer dir und dem Händler eigentlich niemand wissen kann – und genau deshalb schaltet das Misstrauen aus.

Die Falle: drei Wege, ein Ziel

Scannst du den QR-Code, landest du auf einer nachgebauten Website. Dort werden dir – nach den vorliegenden Berichten – drei Optionen angeboten:

Alle drei Wege enden am selben Punkt: Du sollst deine Seed Phrase eingeben oder dein Wallet per WalletConnect mit der Seite verbinden. Tust du das, ist das Guthaben binnen Sekunden abgeräumt. Es gibt keine Rückbuchung, keine Sperrung, keine Versicherung. Eine Anzeige bei der Staatsanwaltschaft ist richtig und wichtig, holt die Coins aber praktisch nie zurück.

Wichtig zu verstehen: Deine Seed Phrase ist dein Guthaben. Sie ist kein Passwort, das man zurücksetzen kann, und kein Zugangscode zu einem Konto, das jemand einfrieren könnte. Wer die 12 oder 24 Wörter hat, hat vollen Zugriff auf alle daraus abgeleiteten Adressen – auf jedem Gerät, überall auf der Welt, ohne dein Zutun.

Fünf Regeln, an denen du jeden Wallet-Betrug erkennst

Diese fünf Punkte gelten unabhängig vom Hersteller. Wenn auch nur einer davon zutrifft, ist es mit sehr hoher Wahrscheinlichkeit ein Betrugsversuch.

1Niemand fragt nach deiner Seed Phrase

Ein Wallet-Anbieter fragt niemals nach deinen Wiederherstellungswörtern, deinem PIN oder deinem Passwort – und wird dich auch niemals bitten, sie irgendwo einzugeben. Es gibt keinen legitimen Supportfall, keine Garantieabwicklung und kein Update, für das ein Hersteller deine Seed Phrase bräuchte. Diese Regel hat keine Ausnahme. Wer danach fragt, ist ein Betrüger – Punkt.

2Hersteller schicken keine Ersatzgeräte wegen „Sicherheitsproblemen”

Unaufgefordert verschickte Austauschgeräte sind ein klassisches Warnsignal. Kommt ein Gerät ins Haus, das du nicht bestellt hast: nicht anschließen, nicht einrichten, nicht verwenden. Manipulierte Ledger-Nachbauten wurden 2021 genau auf diesem Weg an Betroffene eines früheren Datenlecks verschickt – inklusive täuschend echter Verpackung und einem beiliegenden „offiziellen” Anschreiben.

3Eine Hardware-Wallet kommt niemals vorkonfiguriert

Ein neues Gerät richtest du selbst ein und erzeugst die Seed Phrase selbst auf dem Gerät. Liegt eine Seed Phrase bei, ist ein PIN schon vergeben oder soll ein „Einrichtungscode” freigerubbelt werden, dann kennt jemand anderes deine Schlüssel. Das gilt auch für Geräte aus dem Zwischenhandel: Kauf grundsätzlich direkt beim Hersteller oder bei einem offiziellen Händler, nie bei Marktplatz-Verkäufern oder gebraucht. Genau dieses Muster – vom Shop vorbereitete, angeblich fertig eingerichtete Wallets – ist in der Vergangenheit auch bei Tangem-Karten aus einem Drittanbieter-Shop berichtet worden.

4Updates macht man nur in der offiziellen App – nie über QR-Code oder Link

Firmware- und Software-Updates startest du ausschließlich in der offiziellen Anwendung des Herstellers, die du selbst geöffnet hast. Kein seriöser Anbieter schickt dir einen QR-Code oder einen Link per E-Mail, über den du ein Update auslösen sollst. Wenn du prüfen willst, ob eine Meldung echt ist: Tippe die Herstelleradresse von Hand in den Browser ein, statt einen Link zu benutzen.

5Keine Aufforderung, dein Gerät per WalletConnect zu verbinden

Wirst du aufgefordert, dein Wallet über WalletConnect oder eine ähnliche Verbindung mit einer Website zu koppeln, um ein Problem zu lösen, ein Update zu erhalten oder Geld zurückzubekommen, dann steckt fast immer ein Wallet Drainer dahinter – eine Seite, die dich eine Freigabe unterschreiben lässt, mit der dein Guthaben abgezogen wird. Legitime Verbindungen initiierst du selbst, wenn du eine bestimmte Anwendung nutzen willst, und niemals auf Zuruf aus einem Brief oder einer Nachricht.

Diese Vorfälle gab es schon

Damit du siehst, dass es hier um ein Muster geht und nicht um einen Einzelfall – ein Überblick über die bekannten Wellen der vergangenen Jahre:

Die Linie ist klar erkennbar: Die Angriffe werden nicht technischer, sondern persönlicher. Die Kryptografie der Geräte zu brechen ist teuer und schwierig – den Besitzer dazu zu bringen, seine Wörter freiwillig einzutippen, ist billig und funktioniert leider zuverlässig.

Du hast so einen Brief bekommen – was tun?

Ruhe bewahren, und in dieser Reihenfolge vorgehen:

1. Nichts scannen, nichts anklicken, nichts eingeben. Auch nicht „nur mal schauen, was da kommt”. Manche dieser Seiten protokollieren jede Eingabe, und die Versuchung, im zweiten Schritt doch die Wörter einzutippen, ist größer, als man denkt.
2. Den Brief aufheben. Er ist ein Beweismittel und hilft anderen bei der Einordnung.
3. Direkt beim Hersteller nachfragen – aber über die Adresse, die du selbst eingibst, oder über einen Kontaktweg, den du bereits kennst. Nicht über die Telefonnummer oder E-Mail-Adresse aus dem Brief.
4. Anzeige erstatten. Bei der Polizei zählt so ein Fall als versuchter Betrug, und die Häufung solcher Anzeigen ist die einzige Chance, dass Ermittlungen überhaupt anlaufen. Wenn Daten aus einem Leck stammen, ist zusätzlich eine Beschwerde bei der zuständigen Datenschutzaufsicht möglich.
5. Andere warnen. In deinem Umfeld hat wahrscheinlich noch jemand ein solches Gerät – und nicht jeder liest jeden Tag Krypto-News.

Deine Coins sind übrigens nicht in Gefahr, nur weil deine Bestelldaten abgeflossen sind. Solange du deine Seed Phrase nicht eingegeben hast, ist dein Guthaben unangetastet. Das Leck kostet dich Privatsphäre und macht dich zur Zielscheibe – es gibt niemandem Zugriff auf dein Wallet.

Du hast schon reagiert – was jetzt?

Falls du bereits deine Seed Phrase eingegeben oder das Gerät mit einer solchen Seite verbunden hast, zählt jede Minute:

• Sofort eine neue Wallet einrichten – auf einem sauberen Gerät, mit einer neu erzeugten Seed Phrase. Die alte Seed ist unwiderruflich verbrannt und darf nie wieder verwendet werden.
• Alles Verbleibende dorthin übertragen. Sind noch Guthaben vorhanden, gilt: zuerst die größten Positionen, und bei Netzwerken mit Gebühren an genügend „Gas” denken.
• Bestehende Freigaben widerrufen, falls du das Wallet mit einer Website verbunden hast. Für die gängigen Netzwerke gibt es dafür Werkzeuge, mit denen sich erteilte Token-Freigaben (Approvals) einsehen und zurückziehen lassen.
• Anzeige erstatten und die Transaktionen dokumentieren. Adressen und Transaktions-IDs notieren – auch für die steuerliche Behandlung eines Diebstahls kann das relevant werden.
• Nichts von „Recovery-Diensten” halten, die dir in Kommentaren oder per Direktnachricht anbieten, das Geld zurückzuholen. Das ist ausnahmslos die zweite Betrugsstufe.

Datenhygiene: was du vorher tun kannst

Der beste Schutz setzt an, bevor der Brief kommt. Ein paar Gewohnheiten, die wenig Aufwand machen und viel bringen:

Eine eigene E-Mail-Adresse für Krypto-Bestellungen. Wenn eine Adresse ausschließlich für Wallet-Käufe existiert, erkennst du sofort, aus welcher Quelle Phishing kommt – und kannst sie im Ernstfall wegwerfen.

Beim Hersteller bestellen, nicht auf Marktplätzen. Das schützt nicht vor Datenlecks beim Hersteller selbst, aber vor manipulierten Geräten. Und beim Kauf möglichst wenige Daten hinterlassen: Ein Packstation- oder Filialversand ist bei Hardware-Wallets kein übertriebener Aufwand.

Beträge trennen. Eine „Alltags-Wallet” mit kleinem Guthaben und ein Langfrist-Bestand, den du fast nie anfasst, begrenzen den Schaden erheblich. Wer sehr große Summen hält, sollte sich zusätzlich mit Passphrasen (dem sogenannten 25. Wort) und Multisig-Lösungen beschäftigen.

Seed Phrase konsequent offline halten. Kein Foto, keine Cloud, kein Passwortmanager, kein Notiz-App-Eintrag. Ein Passwortmanager wie KeePass ist für Zugangsdaten hervorragend – für die Wiederherstellungswörter deiner Hardware-Wallet ist er der falsche Ort. Die gehören auf Papier oder Metall, an zwei getrennte, sichere Orte.

Neue Empfangsadressen mit einem Kleinbetrag testen. Der Satoshi-Test kostet ein paar Cent und Minuten – und deckt Fehler auf, bevor eine große Summe unterwegs ist.

Nicht über Guthaben sprechen. Weder in Foren noch im Bekanntenkreis. Wer als Krypto-Besitzer bekannt ist, bekommt irgendwann Post – im schlimmsten Fall nicht nur per Brief.

Mein Fazit

Die Angreifer sind nicht besser darin geworden, Hardware zu knacken. Sie sind besser darin geworden, Vertrauen zu erzeugen. Ein Brief mit deiner richtigen Bestellnummer und der richtigen Seriennummer wirkt echter als jede E-Mail – und deshalb funktioniert diese Masche auch bei Leuten, die sich für zu erfahren halten, um darauf hereinzufallen.

Der Schutz dagegen ist zum Glück simpel und kostet nichts: Deine Seed Phrase verlässt niemals dein Zuhause und wird niemals irgendwo eingetippt, außer in dein eigenes Gerät bei der Wiederherstellung – die du selbst angestoßen hast. Alles andere ist Betrug, egal wie professionell es verpackt ist.

Und ganz unabhängig von diesem konkreten Fall: Selbstverwahrung heißt, dass niemand einspringt, wenn etwas schiefgeht. Diese Freiheit ist der eigentliche Wert einer Hardware-Wallet – und sie verlangt genau eine Gegenleistung, nämlich Vorsicht.

Häufige Fragen (FAQ)

Weiterlesen

• BitBox Swaps: Kryptowährungen direkt in der App tauschen – Selbstverwahrung ohne Umweg über eine Börse
• Der Satoshi-Test: Adressen richtig prüfen – die einfachste Versicherung gegen Fehler beim Senden
• KeePass: Passwörter sicher verwalten – für Zugangsdaten, nicht für die Seed Phrase
• Kryptowährungen und Steuern – wie Gewinne, Verluste und Sonderfälle behandelt werden

Quellen und Einordnung: Schilderungen der aktuellen Briefe stammen aus Meldungen betroffener Nutzer aus der deutschsprachigen Krypto-Community (Anfang August 2026); eine offizielle Bestätigung durch SafePal liegt zum Zeitpunkt der Veröffentlichung nicht vor. Über einen berichteten Abfluss von SafePal-Kundendaten wurde bereits im Mai 2026 in der Fachpresse berichtet. Die Angaben zu früheren Vorfällen stützen sich auf öffentliche Berichterstattung: das Ledger-Datenleck von 2020 mit rund 270.000 Datensätzen inklusive Postanschrift, die 2021 versandten manipulierten Ledger-Nachbauten, den Vorfall auf der Trezor-Support-Plattform Anfang 2024 mit rund 66.000 betroffenen Kontaktdatensätzen sowie die 2025 und 2026 dokumentierte Welle gedruckter Phishing-Briefe an Ledger- und Trezor-Nutzer mit QR-Code und gesetzten Fristen. Stand aller Angaben: 9. August 2026. Alle Angaben ohne Gewähr.