SafePal xác nhận lỗ hổng hệ thống làm lộ dữ liệu gần 40.000 khách hàng, dù khẳng định seed phrase, private key và tài sản trong ví vẫn an toàn.
Sau Trezor, đến lượt SafePal làm lộ dữ liệu gần 40.000 khách hàng, cảnh báo nguy cơ phishing
Nhà cung cấp ví lạnh SafePal vừa xác nhận một lỗ hổng trong hệ thống theo dõi đơn hàng đã khiến thông tin cá nhân của gần 40.000 khách hàng bị truy cập trái phép. Dù seed phrase, private key và tài sản trong ví không bị ảnh hưởng, lượng dữ liệu bị lộ có thể được kẻ xấu tận dụng để thực hiện các cuộc tấn công phishing nhắm vào người dùng SafePal.
Dear community,
— SafePal - Crypto Wallet (@SafePal) August 16, 2026
While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.
The issue has been fixed with additional security measures…
Theo thông báo đăng tải vào ngày 16/08, sự cố bắt nguồn từ một lỗ hổng cấp quyền trong plugin được SafePal sử dụng cho chức năng theo dõi đơn hàng, cho phép kẻ xấu trong một số trường hợp nhất định có thể truy cập trái phép thông tin đơn hàng.
SafePal cho biết dữ liệu của khoảng 39.798 đơn đặt hàng trong giai đoạn từ 02/03/2025 đến 11/04/2026 bị rò rỉ bao gồm họ tên, email, số điện thoại, địa chỉ giao hàng và thông tin sản phẩm đã mua.
Tuy nhiên, công ty nhấn mạnh sự cố chỉ ảnh hưởng đến hệ thống xử lý đơn hàng, không xâm phạm trực tiếp đến ví của người dùng. Các thông tin nhạy cảm như seed phrase, private key, mật khẩu ví, tài khoản ngân hàng, số thẻ thanh toán hay giấy tờ tùy thân vẫn an toàn, vì vậy người dùng không cần phải chuyển tài sản sang ví mới.
Sau khi xác định nguyên nhân vụ việc, SafePal đã nhanh chóng vá lỗ hổng và tăng cường các biện pháp bảo mật, đồng thời thuê một đơn vị an ninh mạng độc lập để kiểm tra bản vá và rà soát toàn bộ hệ thống xử lý đơn hàng.
Công ty cũng rút ngắn thời gian lưu trữ dữ liệu cá nhân xuống còn 90 ngày, mở kênh hỗ trợ riêng cho những khách hàng bị ảnh hưởng và làm việc với các đối tác vận chuyển, xử lý đơn hàng để kiểm tra liệu sự cố có lan sang các hệ thống bên ngoài hay không.
Mặc dù vậy, sự việc vẫn khiến nhiều người dùng lo ngại khi những thông tin bị lộ đủ để kẻ xấu xây dựng được các chiến dịch phishing có chủ đích. Thay vì phát tán những tin nhắn lừa đảo hàng loạt, chúng có thể biết chính xác tên, số điện thoại, địa chỉ giao hàng và cả sản phẩm SafePal mà nạn nhân từng mua, từ đó dễ dàng giả danh nhân viên hỗ trợ của SafePal gọi điện, gửi email, tin nhắn hoặc thậm chí thư đến tận nhà.
Những đối tượng này có thể viện nhiều lý do như hoàn tiền, cập nhật firmware, đổi thiết bị mới hoặc hỗ trợ kỹ thuật, trước khi dụ người dùng chuyển tiền, tiết lộ seed phrase, private key hoặc các thông tin nhạy cảm khác.
Trên thực tế, dấu hiệu về những cuộc tấn công tương tự đã xuất hiện từ trước khi SafePal chính thức công bố sự cố. Công ty cho biết đã nhận được báo cáo đầu tiên từ đầu tháng 05/2026 nhưng khi đó chỉ xem đây là một trường hợp riêng lẻ và chưa phát hiện dấu hiệu dữ liệu bị xâm nhập
Đến tháng 07/2026, SafePal mới bắt đầu tiến hành rà soát toàn diện và xây dựng lại quy trình xử lý đơn hàng, qua đó xác định lỗ hổng trong hệ thống theo dõi đơn hàng là nguyên nhân khiến dữ liệu khách hàng bị truy cập trái phép.
Cũng trong khoảng thời gian này, một số người dùng bắt đầu công khai phản ánh việc bị những đối tượng giả danh SafePal liên hệ dù nắm rất rõ thông tin cá nhân và lịch sử mua hàng của họ. Một người dùng Reddit ngày 03/07 cho biết kẻ lừa đảo biết chính xác tên, địa chỉ, số điện thoại, email và thông tin đơn hàng, sau đó dụ nạn nhân truy cập website giả mạo safepal.support.
Một trường hợp tương tự cũng xuất hiện trên Trustpilot chỉ một ngày sau đó, khi kẻ gian giả danh SafePal và đề nghị gửi ví cứng thay thế.
What's interesting, considering the period covered by the stolen data, is that it likely means the breach had already occurred by April or, at the latest, early May but you chose to keep it silent until recently, around the same time Trezor announced its own data breach.
— Specter (@SpecterAnalyst) August 16, 2026
What's… pic.twitter.com/euw2mS5Faw
Tuy nhiên, tính đến thời điểm viết bài, SafePal chưa xác nhận trường hợp khách hàng nào bị mất tiền từ các cuộc tấn công phishing liên quan đến sự cố. Công ty đang làm việc với các đơn vị chuyên truy vết tài sản và kêu gọi những người cho rằng mình đã chịu thiệt hại cung cấp thông tin để phục vụ quá trình điều tra.
Vụ việc của SafePal diễn ra trong bối cảnh các hãng ví cứng liên tiếp gặp phải sự cố bảo mật. Chỉ vài ngày trước, đối tác vận chuyển ShipMonk của Trezor đã rò rỉ dữ liệu của gần 14.000 khách hàng, trong khi đầu năm nay, Ledger cũng ghi nhận một vụ rò rỉ thông tin người dùng thông qua nhà cung cấp Global-e.
Nghiêm trọng hơn phải kể tới vụ tấn công nhắm vào ví cứng COLDCARD với thiệt hại hiện đã vượt hơn 2.055 BTC, tương đương khoảng 130 triệu USD, sau 4 đợt tấn công. Nguyên nhân được cho là xuất phát từ lỗi tạo seed phrase trên một phiên bản phần mềm từ năm 2021, khiến một số cụm từ khôi phục không đủ độ ngẫu nhiên và tạo cơ hội để hacker tái tạo khóa, truy cập tài sản của người dùng.
Dù nguyên nhân và mức độ thiệt hại khác nhau, chuỗi sự cố xảy ra sát nhau vẫn khiến độ an toàn của ví cứng một lần nữa trở thành tâm điểm tranh luận. Đáng chú ý, không lâu trước đó, thám tử on-chain ZachXBT từng công khai chỉ trích ví cứng, cho rằng ông không khuyến nghị dùng chúng để ký các giao dịch quan trọng hay lưu trữ tài sản, thậm chí nhận định một chiếc iPhone riêng chỉ dùng cho crypto còn là lựa chọn tốt hơn.
Coin68 tổng hợp
