Mặc dù vụ rò rỉ dữ liệu đã lộ các chi tiết đơn hàng cá nhân của hàng nghìn khách hàng, nhưng tất cả khóa riêng, cụm từ hạt giống (seed phrase) và tài sản tiền mã hóa vẫn hoàn toàn an toàn.
Nhà cung cấp ví phần cứng cho tiền mã hóa SafePal đã tiết lộ một sự cố bảo mật, khiến thông tin cá nhân của hàng nghìn khách hàng bị lộ.
Dữ liệu bị lộ bao gồm tên, địa chỉ vật lý và thông tin liên hệ, khiến người dùng bị ảnh hưởng có nguy cơ bị lừa đảo (phishing) và các hành vi mạo danh. Tuy nhiên, sự cố này không làm ảnh hưởng đến bất kỳ khoản tiền điện tử nào, mật khẩu nào hoặc khóa ví cá nhân.
SafePal là một công ty bảo mật tiền mã hóa cung cấp các ví phần cứng vật lý và ứng dụng phần mềm, được thiết kế nhằm giúp nhà đầu tư lưu trữ và quản lý an toàn các tài sản kỹ thuật số của mình.
Lỗ hổng bị khai thác mới nhất diễn ra sau một vụ hack gần đây đối với các ví phần cứng Coldcard, trong đó kẻ tấn công được cho là đã đánh cắp ít nhất 120 triệu USD tiền bitcoin. Mặc dù các sự cố này không nhất thiết chỉ ra một điểm yếu mang tính hệ thống trong các ví phần cứng, chúng cho thấy không có giải pháp lưu trữ tiền mã hóa nào hoàn toàn không có rủi ro. Chúng cũng củng cố các lời kêu gọi đánh giá rủi ro tập trung và, khi phù hợp, đa dạng hóa cả các khoản nắm giữ crypto lẫn các ví được dùng để lưu trữ chúng.
SafePal cho biết vào Chủ nhật rằng họ đã xác định một “lỗi cấp quyền” trong một plugin được sử dụng để theo dõi đơn hàng của khách hàng. Lỗi này có khả năng đã cho phép kẻ tấn công xem được đơn hàng của những khách hàng khác. Hãy hình dung như hệ thống theo dõi bưu kiện của một cửa hàng, cho phép một khách hàng xem thông tin hóa đơn và chi tiết giao hàng của khách hàng khác chỉ bằng cách thay đổi số đơn hàng.
SafePal nhấn mạnh rằng bảo mật cốt lõi của các ví vẫn được bảo toàn, đồng thời cho biết các cụm từ hạt giống, khóa riêng, mật khẩu ngân hàng, thông tin tài khoản ngân hàng, số thẻ thanh toán và giấy tờ tùy thân do chính phủ cấp của người dùng không bị ảnh hưởng.
Tuy nhiên, SafePal cho biết những người dùng đã chia sẻ khóa riêng hoặc cụm từ hạt giống của họ qua email lừa đảo (phishing), cuộc gọi điện thoại hoặc thư thì nên coi ví của họ đã bị xâm phạm và chuyển tài sản sang một ví mới.
Công ty cho biết họ đã vá lỗ hổng và triển khai thêm các biện pháp bảo mật để phản hồi. SafePal đã thông báo cho tất cả các khách hàng bị ảnh hưởng qua email từ security@safepal.com vào Chủ nhật và thuê một công ty bảo mật độc lập bên thứ ba để kiểm tra bản vá và rà soát các hệ thống xử lý đơn hàng của công ty.
SafePal cũng cho biết họ sẽ chỉ lưu giữ dữ liệu cá nhân của khách hàng trong hệ thống xử lý đơn hàng trong 90 ngày kể từ ngày thu thập. Ngoài ra, công ty đã xác định và gỡ bỏ hơn 30 trang web gian lận và các liên kết lừa đảo (phishing) liên quan đến vụ vi phạm.
Khách hàng có thể sử dụng công cụ xác minh trên trang web của SafePal để kiểm tra xem dữ liệu của họ có bị ảnh hưởng hay không, công ty cho biết.
