Trộm khóa thiết bị buộc Keystone phá hủy gần 19.000 ví

Gần 19.000 ví phần cứng chưa được giao sẽ bị Keystone tiêu hủy, công ty thông báo, sau khi kẻ tấn công có được khóa dùng để xác minh tính xác thực của thiết bị.

Vào thứ Bảy, Keystone đăng trên X để thừa nhận một vụ vi phạm tiềm ẩn đối với dữ liệu giao hàng của khách hàng — bao gồm "tên, thông tin liên hệ, địa chỉ giao hàng và chi tiết đơn hàng (mặt hàng và giá cả)."

Sự thừa nhận này diễn ra khoảng 18 giờ sau khi một khách hàng cảnh báo về một cuộc gọi "kỹ thuật xã hội" trong đó dữ liệu đơn hàng từ Keystone bị khai thác.

Mặc dù chi tiết thanh toán và khóa ví không bị xâm phạm, Keystone cảnh báo người dùng về những kẻ mạo danh nhân viên của mình và "đề nghị hoàn tiền, thiết bị thay thế hoặc 'khắc phục' cho đơn hàng hoặc địa chỉ của bạn."

Chúng tôi nợ bạn một lời xin lỗi.

Vào ngày 20 tháng 10, chúng tôi phát hiện truy cập trái phép vào trang web chính thức của mình. Sau khi xác minh hoạt động API với Shopify, chúng tôi xác nhận vào ngày 23 tháng 10 rằng bên thứ ba đã lấy được thông tin giao hàng của khách hàng. Bạn đã tin tưởng giao cho chúng tôi những thông tin đó, và chúng tôi xin lỗi vì…

— Keystone Hardware Wallet (@KeystoneWallet) 24 tháng 10, 2026

Keystone trước đó đã cam kết rằng "180 ngày sau khi bạn đặt hàng, dữ liệu giao hàng của bạn sẽ bị xóa vĩnh viễn." Tuy nhiên, người dùng đầu tiên báo cáo về vụ vi phạm có thể xảy ra cho biết thiết bị của họ được mua vào năm 2024.

Công ty sau đó đã cập nhật con số lên gần 26.000 bản ghi bị ảnh hưởng, chỉ giới hạn ở các đơn hàng Shopify trên trang web chính thức của mình — cùng với 13.000 bản ghi mua hàng không hoàn chỉnh khác chứa chi tiết đơn hàng một phần.

Thêm 25.000 bản ghi, Keystone cho biết, đã "bị xóa vĩnh viễn… theo chính sách lưu giữ dữ liệu của chúng tôi." Tuy nhiên, công ty thừa nhận rằng hệ thống xóa tự động của mình "không hoạt động đáng tin cậy… dẫn đến một số thông tin cá nhân bị lưu giữ quá thời hạn cho phép."

Cập nhật này còn tiết lộ đáng lo ngại rằng "kẻ tấn công cũng đã lấy được khóa WebAuth mà chúng tôi dùng để xác minh thiết bị có phải hàng chính hãng hay không."

Các ví Keystone trong tương lai sẽ sử dụng khóa mới. Việc giao hàng đã bị tạm dừng cho đến khi chuyển đổi hoàn tất, và khoảng 19.000 đơn vị từ lượng hàng tồn kho chưa gửi hiện tại sẽ bị tiêu hủy.

Foundation Passport bị ảnh hưởng bởi di trú dữ liệu lỗi

Từ đầu thứ Hai, các báo cáo trên X tuyên bố rằng các email lừa đảo nhắm vào người dùng Foundation Passport. Các ảnh chụp màn hình hiển thị các thủ đoạn dọa dẫm về một mô-đun hiển thị, rõ ràng lấy cảm hứng từ vụ xâm phạm gần đây của thiết bị Ledger.

Foundation xác nhận rằng các email "spam" xuất phát từ tên miền chính thức của mình và quy nguyên nhân cho "một hoặc nhiều khóa API bị xâm phạm trên Cloudflare."

Foundation cũng đã đảm bảo với khách hàng rằng dữ liệu người dùng được "tự động" xóa sau 60 ngày.

Một cập nhật từ công ty cho biết hơn 20.000 nỗ lực lừa đảo đã được gửi qua hệ thống của mình, mặc dù họ "vẫn đang xác định" có bao nhiêu người dùng bị lộ dữ liệu cá nhân.

Về chính sách xóa 60 ngày, Foundation tuyên bố rằng nhà cung cấp cũ của họ là WooCommerce đã xóa dữ liệu đơn hàng. Nhưng "trong các lần di trú cơ sở dữ liệu trước đây," chỉ có các bảng mới được biên tập lại, trong khi "các bản sao cũ hơn vẫn chứa thông tin cá nhân." Công ty nói thêm rằng các đơn hàng mới hơn qua Shopify "cũng có thể đã bị lộ."

Các vấn đề bảo mật khác thu hút sự chú ý

Chủ sở hữu ví phần cứng gần đây phải đối mặt với thời điểm khó khăn, có thể nói là vậy.

Mặc dù lưu trữ lạnh được nhiều người coi là phương pháp an toàn nhất để nắm giữ tài sản tiền điện tử, một loạt các sự kiện bảo mật đã dẫn đến tổn thất đáng kể và vi phạm dữ liệu có thể khiến người dùng e ngại trong thời gian dài.

Cộng lại, sự cố phần mềm gián điệp của Ledger và lỗi tạo hạt giống của Coldcard đã gây ra thiệt hại hơn 200 triệu đô la.

Chúng tôi đang điều tra cách một bài đăng chứa liên kết lừa đảo được xuất bản từ tài khoản này. Nó đã bị xóa.

Không truy cập hoặc tương tác với liên kết đó. Trang web chính thức duy nhất của COLDCARD là https://t.co/veUyheguQW.

Tài khoản này đã sử dụng 2FA ngoại tuyến với quyền hạn hạn chế nghiêm ngặt… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) 11 tháng 10, 2026

Các vụ rò rỉ dữ liệu gần đây hơn đã được báo cáo từ kẻ tái phạm nhiều lần là Ledger, đối thủ chính của nó là Trezor và SafePal.

Ngay sau khi người dùng chịu tổn thất nặng nề, tài khoản X của Coldcard đã bị chiếm quyền vào đầu tháng này để đẩy một vụ lừa đảo lừa đảo tới 67.000 người theo dõi của nó.

Mặc dù không phải là rò rỉ dữ liệu theo đúng nghĩa, sự cố này tỏ ra đặc biệt bẽ mặt vì nó xảy ra chỉ hai ngày sau khi Coldcard cố gắng khai thác dư luận tiêu cực của Ledger bằng một dòng tweet táo bạo về ví vỏ trong suốt của chính mình.