Tin về ví phần cứng

Keystone sẽ tiêu hủy 18.835 ví phần cứng chưa bán và tạm ngưng giao các đơn chưa gửi, sau khi kẻ tấn công lấy được khóa WebAuth cố định trong nhà máy dùng để xác minh thiết bị chính hãng, khiến ví giả có thể qua được kiểm tra của chính hãng. Vụ việc được phát hiện ngày 20 tháng Mười và làm lộ 25.964 bản ghi khách hàng từ cửa hàng Shopify giai đoạn 2024–2026, gồm tên, thông tin liên lạc và địa chỉ giao hàng; Keystone cho biết cụm từ khôi phục và khóa riêng không liên quan, còn thiết bị giao trước ngày 20 tháng Mười không bị ảnh hưởng. Công ty thừa nhận công cụ xóa dữ liệu tự động hoạt động không ổn định, khiến một số thông tin lẽ ra phải xóa theo chính sách 180 ngày vẫn còn lưu. Keystone đã giảm thời hạn lưu xuống 90 ngày, dự kiến hoàn tất việc xóa vào ngày 3 tháng Mười Một và cảnh báo các kẻ giả danh 'thu hồi' yêu cầu khách gửi thiết bị cho họ.

Nhà sản xuất ví phần cứng Keystone cho biết kẻ tấn công xâm nhập website tuần trước cũng đã đánh cắp khóa dùng để xác thực thiết bị, khiến ví giả có thể vượt qua kiểm tra. Công ty sẽ tiêu hủy 18.835 thiết bị trong kho có chứa khóa bị lộ và tạm ngưng giao các thiết bị dùng khóa này. Công ty cũng xác nhận 25.964 hồ sơ người mua từ năm 2024 đến 2026 đã bị đánh cắp do công cụ xóa dữ liệu lỗi, cùng 12.873 bản ghi thanh toán do Shopify lưu giữ. Thiết bị được sản xuất và giao trước sự cố ngày 20/10 được coi là an toàn, nhưng không thể bảo đảm tính xác thực của thiết bị giao sau thời điểm này. Vụ việc nằm trong chuỗi sự cố liên quan đến các nhà sản xuất ví phần cứng trong năm nay, gồm Ledger, Coinkite và Trezor.

Ledger cho biết các linh kiện gián điệp có kết nối LTE trong ví bán bởi CryptoBilis đã thu cụm từ khôi phục 24 từ hiển thị trên màn hình khi thiết lập và gửi đi qua mạng di động, nhưng không xâm phạm chip bảo mật hay thay đổi giao dịch. Vụ việc lộ ra sau các báo cáo mất tiền liên quan đến thiết bị bán qua nhà phân phối này, và CryptoBilis đã tạm ngừng bán mọi ví phần cứng tại Malaysia, Philippines và Indonesia. Nhà điều tra blockchain Specter ước tính thiệt hại có thể vượt 86 triệu USD, còn Yfarmx đưa ra con số 103 triệu USD, nhưng Ledger chưa xác nhận tổng thiệt hại. Trezor cho biết chưa nhận báo cáo về thiết bị bị can thiệp và đã gỡ CryptoBilis khỏi mạng lưới phân phối, còn OneKey chấm dứt ủy quyền và đổi miễn phí thiết bị mua từ CryptoBilis trong năm 2026. Ledger cũng đang xem xét các báo cáo ngoài nhà phân phối này, gồm trường hợp ở châu Âu với ví mua từ MediaMarkt, nhưng chưa xác nhận liên hệ.