SafePal于2026年8月16日披露，订单跟踪插件中的授权漏洞暴露了39,798名客户的相关信息，这些客户的订单下单时间在2025年3月2日至2026年4月11日之间。被暴露的信息包括姓名、电子邮件地址、收货地址、电话号码和购买详情，但助记词、私钥、银行卡号和客户资金未受影响。随后，攻击者利用泄露的数据发起定向钓鱼活动，其中包括寄给部分意大利客户的信件，信中虚假声称其硬件钱包受到固件安全问题影响。这些信件使用真实客户信息，并附有二维码，指向托管于Arweave上的虚假SafePal网站。SafePal于11月12日前确认这些信件为诈骗，并表示其钱包基础设施仍然安全，同时警告称公司绝不会寄送实体信件或索要助记词。该公司已通知受影响客户，移除了30多个相关网站和链接，推出订单状态查询工具，聘请第三方审计机构，并将数据保留期限缩短至90天。Ledger客户也曾遭遇类似的基于地址的定向攻击；此外，一家Trezor物流合作伙伴于8月披露了13,689条客户记录。