Tóm tắt
Keystone – hãng sản xuất ví phần cứng cho tiền mã hóa – tuyên bố sẽ tiêu hủy 18.835 thiết bị chưa bán được và tạm dừng giao hàng, sau khi website của công ty bị xâm nhập trái phép. Kẻ tấn công đã lấy được dữ liệu của 25.964 khách hàng mua ví trong giai đoạn 2024–2026, cùng một khóa xác thực được cài sẵn trong thiết bị – thứ có thể khiến ví giả vượt qua bước kiểm tra chính hãng. Nghiêm trọng hơn, một phần hồ sơ khách hàng lẽ ra phải bị xóa theo chính sách lưu trữ 180 ngày nhưng vẫn tồn tại do công cụ xóa tự động gặp lỗi mà không ai phát hiện. Keystone khẳng định sự cố không làm lộ cụm từ khôi phục, khóa riêng hay thông tin đăng nhập ví, đồng thời cam kết thay khóa xác thực trên thiết bị mới và rút ngắn thời gian lưu dữ liệu khách hàng xuống 90 ngày.
Nội dung chi tiết
Sự cố ngày 20/10 và phạm vi ảnh hưởng
Ngày 20/10, kẻ tấn công đã giành được quyền truy cập vào website của Keystone thông qua một lỗ hổng trong công cụ giám sát dữ liệu của bên thứ ba. Thông tin được công bố trong bài đăng trên X hôm thứ Hai cho biết vụ việc làm lộ 25.964 hồ sơ người mua trong giai đoạn 2024–2026, bao gồm họ tên, thông tin liên hệ, địa chỉ giao hàng và dữ liệu đơn hàng. Thêm 12.873 bản ghi đặt mua chưa thanh toán cũng có thể đã bị ảnh hưởng.
Ví phần cứng là thiết bị vật lý cất giữ khóa riêng của người dùng ngoại tuyến (offline), do đó về lý thuyết an toàn hơn ví nóng trên điện thoại hay trình duyệt trước các cuộc tấn công mạng – miễn là thiết bị đó là hàng chính hãng và không bị can thiệp.
Những con số đáng chú ý
- 18.835 thiết bị chưa bán được sẽ bị tiêu hủy, tương đương “gần 19.000” đơn vị.
- 25.964 hồ sơ người mua bị lộ, dữ liệu từ năm 2024 đến 2026.
- 12.873 bản ghi thanh toán chưa hoàn tất có thể cũng bị ảnh hưởng.
- 180 ngày là chính sách lưu trữ dữ liệu khách hàng cũ của Keystone – một phần hồ sơ đã bị giữ quá hạn này.
- 90 ngày là thời gian lưu trữ dữ liệu mới mà công ty áp dụng sau sự cố.
- 20/10 là ngày website bị xâm nhập.
Rủi ro từ khóa xác thực bị đánh cắp
Theo Keystone, khóa bị đánh cắp được tích hợp vào thiết bị ngay trong quá trình sản xuất và không thể thay đổi. Khóa này cho phép ví vượt qua các bước kiểm tra tính chính hãng trực tuyến, đồng nghĩa với nguy cơ thiết bị giả có thể được nhận diện như hàng thật và đe dọa tài sản của người dùng.
Khóa xác thực là một mã bí mật được nhúng trong thiết bị nhằm chứng minh với hệ thống của nhà sản xuất rằng thiết bị đó do chính hãng sản xuất, không phải hàng nhái. Nếu khóa này lộ ra, kẻ làm hàng giả có thể sao chép để đánh lừa bước kiểm tra.
Công ty cho biết sự cố không làm lộ cụm từ khôi phục, khóa riêng hay thông tin đăng nhập ví. Cụm từ khôi phục (recovery phrase) là chuỗi 12–24 từ dùng để phục hồi quyền truy cập ví; khóa riêng (private key) là chìa khóa mật mã chứng minh quyền sở hữu tài sản trong ví. Ai nắm được hai thứ này có thể chiếm đoạt toàn bộ tiền trong ví.
Vi phạm cam kết xóa dữ liệu
Đáng chú ý, một số hồ sơ khách hàng lẽ ra đã bị xóa theo chính sách lưu trữ 180 ngày của Keystone, nhưng công cụ xóa tự động đã gặp lỗi mà công ty không phát hiện ra.
“Chúng tôi đã không thực hiện được cam kết xóa dữ liệu khách hàng đúng hạn, và chúng tôi nhận trách nhiệm về thất bại này.” – Keystone
Bối cảnh: hàng loạt vụ tấn công nhắm vào ví phần cứng
Sự cố của Keystone nối tiếp một chuỗi vụ tấn công nhằm vào người dùng ví phần cứng trong năm nay, làm suy giảm niềm tin vào lớp bảo vệ được xem là an toàn nhất của thị trường crypto.
- Tại Ledger, tội phạm đã can thiệp vào các thiết bị bán qua nhà phân phối ở Đông Nam Á, gắn linh kiện ẩn để thu thập cụm từ khôi phục ngay trong quá trình thiết lập.
- Một lỗ hổng trong phần mềm tạo seed của Coldcard cho phép kẻ tấn công tái dựng khóa riêng và rút tiền khỏi ví từ xa.
Ngay sau đó, hãng ví phần cứng Foundation cũng công bố một vụ vi phạm riêng, trong đó kẻ tấn công gửi email phishing giả mạo từ các tên miền chính thức của công ty. Phishing (tấn công giả mạo) là hình thức lừa người dùng nhấp vào đường dẫn hoặc nhập thông tin nhạy cảm vào các trang web, email trông giống hệt bản chính thức.
Foundation cũng bị ảnh hưởng
Theo Foundation, công ty đã ghi nhận hơn 23.000 nỗ lực gửi email phishing và không tìm thấy bằng chứng cho thấy thiết bị Passport hay khóa riêng bị xâm phạm. Tuy nhiên, đơn vị này phát hiện các bản sao cơ sở dữ liệu cũ mà quy trình xóa dữ liệu sau 60 ngày đã bỏ sót.
- Khoảng 5.600 địa chỉ thư tín và 5.200 số điện thoại có thể nằm trong dữ liệu mà kẻ tấn công truy cập được.
- Foundation cho biết chưa thể xác nhận chính xác bao nhiêu bản ghi thực sự bị lấy đi.
Người dùng cần làm gì
- Thiết bị Keystone được giao trước ngày 20/10 vẫn an toàn để sử dụng nếu vượt qua bước xác thực.
- Khách hàng nhận thiết bị dùng khóa cũ sau ngày 20/10 nên yêu cầu kiểm tra bổ sung trước khi dùng.
- Người dùng không cần chuyển tiền chỉ vì sự cố này, và nên cảnh giác với các thông báo giả mạo về việc thu hồi thiết bị hoặc di chuyển tài sản.
Keystone thay đổi gì sau sự cố
- Thay khóa xác thực trên các thiết bị mới.
- Chuyển hoạt động bán hàng trên website sang hình thức đặt trước.
- Rút ngắn thời gian lưu dữ liệu khách hàng xuống còn 90 ngày.
Câu hỏi thường gặp
Keystone sẽ tiêu hủy bao nhiêu thiết bị và vì sao?
Keystone sẽ tiêu hủy 18.835 thiết bị chưa bán được (gần 19.000 chiếc) vì sự cố rò rỉ đã làm lộ khóa xác thực được cài sẵn trong thiết bị, khiến ví giả có thể vượt qua bước kiểm tra chính hãng.
Sự cố làm lộ những dữ liệu nào?
Vụ việc làm lộ 25.964 hồ sơ người mua trong giai đoạn 2024–2026, gồm họ tên, thông tin liên hệ, địa chỉ giao hàng và dữ liệu đơn hàng; thêm 12.873 bản ghi thanh toán chưa hoàn tất có thể cũng bị ảnh hưởng. Keystone khẳng định không có cụm từ khôi phục, khóa riêng hay thông tin đăng nhập ví nào bị lộ.
Người dùng có cần chuyển tiền ra khỏi ví không?
Không. Keystone cho biết người dùng không cần di chuyển tiền chỉ vì sự cố này, đồng thời cảnh báo về các tin nhắn giả mạo yêu cầu thu hồi thiết bị hoặc di chuyển tài sản.
Thiết bị đã mua trước ngày 20/10 có còn an toàn?
Thiết bị giao trước ngày 20/10 vẫn an toàn để sử dụng nếu vượt qua bước xác thực. Khách hàng nhận thiết bị dùng khóa cũ sau ngày 20/10 nên yêu cầu kiểm tra thêm trước khi dùng.
Keystone thay đổi gì sau sự cố?
Công ty sẽ thay khóa xác thực trên thiết bị mới, chuyển bán hàng trên website sang hình thức đặt trước và giảm thời gian lưu dữ liệu khách hàng từ 180 ngày xuống còn 90 ngày.
Dịch và biên tập lại theo nguồn: CoinDesk Finance
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
