SafePalは2026年8月16日、注文追跡プラグインの認可の不備により、2025年3月2日から2026年4月11日までに注文した3万9798人の顧客に関連する情報が流出したと明らかにした。流出したのは氏名、メールアドレス、配送先住所、電話番号、購入情報で、リカバリーフレーズ、秘密鍵、カード番号、顧客資金は侵害されなかった。攻撃者はその後、流出情報を標的型フィッシングに利用し、イタリアの一部顧客には、ハードウェアウォレットにファームウェアのセキュリティー問題が生じたと偽る郵便物を送付した。郵便物には実際の顧客情報と、Arweave上にホストされた偽のSafePalサイトに誘導するQRコードが使われていた。SafePalは11月12日までに郵便物が偽造品だと確認し、ウォレットのインフラは安全だと説明するとともに、物理的な郵便物を送ったり、シードフレーズを求めたりすることは決してないと警告した。同社は影響を受けた顧客に通知し、関連するウェブサイトとリンクを30件超削除したほか、注文状況の確認ツールを導入し、第三者監査法人を起用、データ保存期間を90日に短縮した。同様の住所情報を使った標的化はレジャーの顧客にも及んでおり、トレザーの配送パートナーは8月に1万3689件の顧客記録が流出したと明らかにした。