Keystone tiêu hủy 18.835 ví phần cứng do lộ khóa xác thực, trong vụ tấn công ảnh hưởng 25.964 hồ sơ khách hàng, làm tăng nguy cơ ví giả.

Keystone, nhà sản xuất ví phần cứng Bitcoin chuyên lưu trữ ngoại tuyến khóa bí mật dùng để kiểm soát tài sản mã hóa, thông báo hôm thứ Hai sẽ tiêu hủy 18.835 thiết bị chưa bán sau khi kẻ tấn công lấy được khóa xác thực dùng để chứng minh phần cứng của hãng là hàng chính hãng. Công ty đồng thời tạm dừng vận chuyển toàn bộ đơn hàng chưa giao từ website. Keystone khẳng định cụm từ khôi phục và khóa riêng tư của người dùng không bị ảnh hưởng.

Khóa bị đánh cắp được Keystone gọi là WebAuth, một mã bí mật ghi vào từng thiết bị tại nhà máy, cho phép trang xác thực trên website kiểm tra phần cứng có phải hàng thật hay không. Vì khóa này không thể bị xóa hay ghi đè, toàn bộ thiết bị tồn kho chứa khóa buộc phải bị tiêu hủy thay vì đưa ra thị trường.

Nguy cơ ví giả “vượt qua” chính quy trình kiểm tra của hãng

Rủi ro lớn nhất đối với người mua là khả năng xuất hiện ví giả trông như hàng mới nguyên hộp và vẫn vượt qua quy trình xác thực của Keystone, bởi kẻ tấn công đã nắm trong tay chính chiếc khóa làm nền tảng cho quy trình này. Theo cảnh báo của công ty, thiết bị giả mạo có thể được bán hoặc giao đến khách hàng, khiến người dùng vô tình nạp tài sản thật vào một chiếc ví đã bị can thiệp.

Keystone lần đầu công bố sự cố hôm thứ Bảy, cho biết một bên thứ ba đã lấy được thông tin giao hàng của khách hàng. Dữ liệu bị ảnh hưởng đến từ cửa hàng Keystone trên Shopify. Tổng cộng 51.083 hồ sơ người mua liên quan đến sự cố, nhưng thông tin cá nhân trong 25.119 hồ sơ đã được xóa trước đó, còn lại 25.964 hồ sơ giai đoạn 2024–2026 chứa tên, thông tin liên hệ, địa chỉ giao hàng và chi tiết đơn hàng. Giao dịch qua Amazon và các kênh phân phối khác không bị ảnh hưởng. Công ty chưa tiết lộ thủ phạm cũng như thời điểm hệ thống bắt đầu bị xâm nhập.

Đáng chú ý, một phần dữ liệu lẽ ra đã phải bị xóa từ trước. Chính sách của Keystone quy định xóa hồ sơ người mua sau 180 ngày, nhưng công cụ xóa dữ liệu hàng loạt do công ty tự phát triển hoạt động không ổn định. Keystone thừa nhận một số tác vụ xóa đã thất bại mà không được phát hiện và khắc phục kịp thời, đồng thời nhận trách nhiệm về thiếu sót này.

Danh sách khách hàng từ lâu là điểm yếu của ngành ví tài sản mã hóa. Vụ rò rỉ dữ liệu của Ledger năm 2020 cuối cùng ảnh hưởng khoảng 292.000 khách hàng, trong khi Trezor và SafePal lần lượt công bố sự cố ảnh hưởng 13.689 và khoảng 39.798 khách hàng trong tháng 8. Tên và địa chỉ là dữ liệu đặc biệt nhạy cảm do nguy cơ tấn công cưỡng đoạt bằng bạo lực. Theo Chainalysis, nửa đầu năm 2026 ghi nhận 46 vụ tấn công dạng này với tổng giá trị tài sản bị đánh cắp vượt 30 triệu USD.

Keystone cảnh báo khách hàng cảnh giác với các đối tượng mạo danh cung cấp dịch vụ “di chuyển tài sản”, “xác minh ví” hay “hỗ trợ điều tra”, đồng thời khẳng định công ty sẽ không yêu cầu khách hàng gửi trả thiết bị dưới bất kỳ hình thức thu hồi nào.

Trong thời gian tới, website của Keystone chuyển sang hình thức đặt hàng trước cho đến khi sản xuất xong thiết bị dùng khóa xác thực mới. Công ty đã báo cáo sự cố tới cơ quan chức năng tại EU, Vương quốc Anh và các khu vực pháp lý khác, đồng thời rút ngắn thời hạn lưu trữ dữ liệu khách hàng từ 180 xuống 90 ngày. Ngày 24/10, Keystone yêu cầu Shopify xóa toàn bộ dữ liệu quá hạn theo quy trình chờ 10 ngày, dự kiến hoàn tất vào ngày 3/11.