Keystone xác nhận hacker đã đánh cắp thông tin cá nhân của gần 26.000 khách hàng cùng khóa bảo mật WebAuth dùng để xác minh ví chính hãng.
Ví lạnh Keystone bị hack, lộ dữ liệu gần 26.000 khách hàng
Ngày 26/10, nhà sản xuất ví lạnh Keystone đã công bố kết quả điều tra vụ tấn công website, xác nhận hacker đã đánh cắp dữ liệu khách hàng và khóa xác thực thiết bị, làm dấy lên lo ngại về nguy cơ lừa đảo và ví lạnh giả mạo.
— Keystone Hardware Wallet (@KeystoneWallet) October 26, 2026
Sự cố được phát hiện từ ngày 20/10 khi hệ thống giám sát ghi nhận hoạt động truy cập bất thường. Qua điều tra, Keystone xác định kẻ tấn công đã khai thác lỗ hổng trong công cụ giám sát dữ liệu của bên thứ ba để chiếm quyền truy cập sâu hơn vào hệ thống.
Gần 26.000 khách hàng bị lộ thông tin, Keystone thừa nhận không xóa dữ liệu đúng cam kết
Cuộc tấn công ảnh hưởng đến 25.964 hồ sơ mua hàng trên Shopify, nền tảng vận hành cửa hàng trực tuyến mà Keystone hợp tác. Thông tin bị lộ bao gồm tên, địa chỉ liên hệ, địa chỉ giao hàng và chi tiết đơn đặt mua trong giai đoạn 2024–2026.
We owe you an apology.
— Keystone Hardware Wallet (@KeystoneWallet) October 24, 2026
On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we're sorry we…
Ngoài ra, hacker còn có thể tiếp cận 12.873 hồ sơ thanh toán chưa hoàn tất, chứa thông tin khách hàng đã nhập nhưng chưa thực sự đặt hàng. Keystone cho biết sẽ gửi email cảnh báo đến những người có dữ liệu bị ảnh hưởng.
Trong tổng số 51.083 hồ sơ mua hàng được lưu trữ, khoảng 25.119 hồ sơ còn lại đã được xóa thông tin cá nhân trước khi xảy ra sự cố. Các đơn hàng thực hiện qua Amazon và những kênh phân phối khác không nằm trong phạm vi ảnh hưởng.
Vụ rò rỉ nhanh chóng làm dấy lên tranh cãi về cách Keystone quản lý dữ liệu khách hàng, đặc biệt khi công ty từng cam kết tự động xóa thông tin giao hàng sau 180 ngày.
Sau khi sự cố được công bố, một số người dùng trên X phản ánh rằng thông tin từ các đơn hàng cách đây hơn 2 năm vẫn bị lộ. Một khách hàng thậm chí cho biết đã nhận cuộc gọi giả danh cảnh sát từ đối tượng nắm chính xác thông tin mua ví Keystone năm 2024.
Cc @KeystoneWallet , just raising awareness here because I’m 99% convinced your customer database may have been leaked.
— OG DEGEN (@PEPE_Whale69) October 23, 2026
I received a call from a spoofed Montreal SPVM number, and the guy tried to social-engineer me.
He started by claiming they had arrested 200 people involved…
Trước những thắc mắc trên, Keystone thừa nhận đã không thực hiện đúng cam kết xóa dữ liệu. Công ty giải thích rằng công cụ tự động xử lý yêu cầu xóa thông tin trên Shopify hoạt động không ổn định, khiến một số hồ sơ vẫn được lưu giữ quá thời hạn mà không được phát hiện.
Keystone sau cùng nhận trách nhiệm về thiếu sót này và quyết định rút ngắn thời gian lưu trữ dữ liệu cá nhân từ 180 xuống còn 90 ngày.
Ngày 24/10, công ty đã yêu cầu Shopify xóa các hồ sơ mua hàng quá hạn 90 ngày cùng dữ liệu thanh toán chưa hoàn tất được lưu giữ trên 30 ngày. Quá trình xử lý dự kiến hoàn tất vào ngày 03/11 do Shopify áp dụng thời gian chờ 10 ngày trước khi xóa.
Hacker đánh cắp khóa xác thực, Keystone phải tiêu hủy hơn 18.800 ví lạnh
Đáng lo ngại hơn, hacker còn đánh cắp được khóa WebAuth, loại khóa bảo mật mà Keystone sử dụng để xác minh ví lạnh có phải hàng chính hãng hay không.
Khóa này được tích hợp vào thiết bị ngay từ khi sản xuất và không thể thay thế. Việc khóa bị lộ đồng nghĩa kẻ tấn công có thể tạo ra những chiếc ví giả nhưng vẫn vượt qua bước kiểm tra trên website Keystone, khiến người dùng tưởng rằng mình đang sử dụng sản phẩm chính hãng và có thể bị đánh cắp tài sản nếu thiết lập ví trên một thiết bị giả đã bị can thiệp.
Tuy nhiên, Keystone cho biết hiện vẫn chưa có bằng chứng cho thấy hacker đã lợi dụng khóa bị lộ để sản xuất hoặc phân phối ví giả.
Để ngăn nguy cơ ví giả lọt đến tay người dùng, Keystone quyết định tiêu hủy toàn bộ 18.835 thiết bị tồn kho sử dụng khóa xác thực cũ và thay thế bằng khóa bảo mật mới trong các lô sản xuất tiếp theo. Công ty cũng tạm dừng giao những đơn hàng chưa xuất kho, đồng thời chỉ nhận đặt trước trên website cho đến khi có sản phẩm mới.
Với những khách hàng đã nhận ví trước ngày 20/10, Keystone cho biết thiết bị vẫn có thể sử dụng bình thường nếu vượt qua bước kiểm tra chính hãng. Riêng các ví được nhận sau thời điểm này nhưng sử dụng khóa cũ cần được kiểm tra thêm bởi bộ phận hỗ trợ, do hacker có khả năng làm giả kết quả xác thực.
Keystone đồng thời khẳng định seed phrase, private key, mật khẩu ví và thông tin thanh toán ngân hàng không bị lộ. Khóa WebAuth chỉ phục vụ việc xác minh nguồn gốc thiết bị, không liên quan đến quá trình tạo khóa riêng hay ký giao dịch.
Vì vậy, người dùng không cần chuyển tài sản sang ví khác chỉ vì sự cố này, miễn là đang sử dụng thiết bị chính hãng và không có dấu hiệu bị can thiệp.
Dù vậy, việc thông tin cá nhân bị đánh cắp có thể khiến khách hàng trở thành mục tiêu của các cuộc tấn công lừa đảo. Keystone cảnh báo hacker có thể giả danh nhân viên hỗ trợ để yêu cầu xác minh ví, chuyển tài sản hoặc gửi trả thiết bị.
Công ty khẳng định không triển khai chương trình thu hồi ví đã giao và sẽ không yêu cầu người dùng gửi thiết bị về.
Liên tiếp các vụ rò rỉ dữ liệu và tấn công ví lạnh trong năm 2026
Sự cố của Keystone diễn ra trong bối cảnh nhiều nhà sản xuất ví lạnh cũng gặp vấn đề bảo mật trong năm nay.
Tháng 8, Trezor công bố vụ rò rỉ dữ liệu từ đối tác vận chuyển ShipMonk, ban đầu ảnh hưởng gần 14.000 khách hàng và sau đó ghi nhận thêm khoảng 67.000 người dùng tại Mỹ.
SafePal cũng gặp sự cố tương tự khi thông tin của gần 40.000 khách hàng bị lộ do lỗ hổng trong hệ thống theo dõi đơn hàng.
Đầu tháng 10, Ledger xác nhận một số thiết bị do nhà bán lẻ CryptoBilis phân phối đã bị cài phần cứng độc hại nhằm đánh cắp seed phrase trong quá trình thiết lập ví.
Những vụ việc này cho thấy rủi ro bảo mật đối với ví lạnh không chỉ đến từ việc hacker trực tiếp tấn công tài sản lưu trữ trong ví, mà còn có thể xuất hiện ở các khâu bán hàng, vận chuyển và xác thực thiết bị.
Về phía Keystone, công ty cho biết đã báo cáo sự cố đến các cơ quan có thẩm quyền tại Liên minh châu Âu, Anh và một số khu vực khác. Hãng cũng đang phát triển công cụ để khách hàng tự kiểm tra dữ liệu cá nhân có bị ảnh hưởng hay không, đồng thời rà soát lại quy trình quản lý thông tin và khóa xác thực.
Dù chưa có bằng chứng cho thấy tài sản trong các ví Keystone chính hãng bị xâm phạm, việc đồng thời để lộ dữ liệu khách hàng và khóa xác thực thiết bị đã đặt ra thách thức lớn đối với khả năng bảo vệ người dùng của hãng, đặc biệt khi chính sách bảo mật thông tin cá nhân trước đó cũng không được thực hiện đầy đủ.
Coin68 tổng hợp
