Cụm từ khôi phục ví có thể thay đổi được. Mật khẩu cũng có thể đặt lại. Nhưng địa chỉ nhà thì không thể. Đợt lộ dữ liệu SafePal công bố hôm Chủ nhật đã làm lộ gần 40,000 địa chỉ như vậy.
Ba ngày trước đó, Trezor cũng làm rò rỉ thêm 13,689 địa chỉ khách hàng. Tổng cộng, hai nhà sản xuất ví cứng này đã để lộ 53,487 thông tin khách hàng. Tuy nhiên, không có bất kỳ đồng coin nào bị thất thoát.
SafePal đã để lộ những gì trong vụ rò rỉ dữ liệu?
SafePal cho biết có 39,798 khách hàng bị ảnh hưởng. Những thông tin bị rò rỉ gồm tên, email, số điện thoại, địa chỉ nhận hàng và chi tiết đơn đặt hàng.
Nguyên nhân là do một lỗi trong plugin mà SafePal sử dụng để theo dõi đơn hàng. Trong một số trường hợp, khách hàng này có thể thấy thông tin của khách hàng khác.
Các đơn hàng bị ảnh hưởng được đặt trong khoảng thời gian từ 02/03/2025 đến 11/04/2026. Lỗ hổng này kéo dài hơn 13 tháng.
Cụm từ khôi phục, khóa riêng tư, thông tin ngân hàng và số thẻ không bị lộ. SafePal đã sửa lỗi này và chỉ lưu giữ dữ liệu đơn hàng trong 90 ngày, theo thông báo mới nhất của họ.
Giá SafePal Token (SFP) hầu như không biến động vào hôm Chủ nhật, giao dịch quanh mức 0.23 USD. Điều này cho thấy vụ việc không ảnh hưởng đến tài chính.
Tại sao địa chỉ bị lộ nguy hiểm hơn mật khẩu bị lộ?
Trezor phát hiện vụ rò rỉ dữ liệu khách hàng vào ngày 10/08. Đơn vị vận chuyển ShipMonk của họ đã bị xâm nhập.
Thông tin đầy đủ của 11,742 người mua Trezor đã bị rò rỉ, theo thông báo từ Trezor. Những thông tin này bao gồm tên, email, số điện thoại và địa chỉ nhà.
Hai vụ việc này khác nhau về nguyên nhân: dữ liệu của Trezor bị lộ do đối tác vận chuyển, còn SafePal lại là lỗi trong chính hệ thống của họ.
Tuy nhiên, cả hai danh sách đều mang ý nghĩa tương tự đối với kẻ xấu: mua ví cứng thường cho thấy bạn sở hữu lượng crypto đủ lớn để lưu trữ ngoài sàn.
Vì vậy, phạm vi của các bản ghi này nhỏ hơn so với các vụ rò rỉ dữ liệu của sàn giao dịch, nhưng nó lại gắn chính xác thông tin một người tự lưu ký crypto với địa chỉ nhà của họ.
Nhà chức trách đã từng gặp chiêu trò này
Vào tháng 05, các công tố viên Mỹ đã truy tố ba người đàn ông đến từ Tennessee liên quan đến một loạt vụ cướp trị giá 6.5 triệu USD tại California.
Theo bản cáo trạng, những người này giả làm nhân viên giao hàng để tiếp cận và tấn công các nạn nhân tận nhà.
Một bản ghi vận chuyển bị lộ sẽ cung cấp mọi thông tin cho kẻ xấu: tên người nhận, địa chỉ và sản phẩm đã giao trong hộp.
Phishing chỉ là vấn đề nhỏ hơn. SafePal cho biết đã xóa hơn 30 trang web và đường link giả mạo liên quan đến dữ liệu bị đánh cắp.
Các thông báo chính thức được gửi từ email [email protected]. Email đến từ địa chỉ khác đều có thể là lừa đảo, cần cảnh giác.
Ledger là ví dụ cho thấy hậu quả kéo dài bao lâu. Vụ rò rỉ năm 2020 của Ledger đã để lộ khoảng 272,000 địa chỉ chuyển phát, tên và số điện thoại, theo thông báo của công ty.
Sáu năm sau, Ledger vẫn liên tục cảnh báo khách hàng về những lá thư lừa đảo gửi qua đường bưu điện. Công ty này không cho rằng chúng đều xuất phát từ vụ rò rỉ năm 2020.
Các trang lừa đảo dần bị gỡ, email rác có thể lọc được, nhưng địa chỉ nhà thì không thể thay đổi.
Trezor dự kiến sẽ áp dụng giao hàng ẩn danh tại EU vào tháng 09 và tại Mỹ vào cuối năm nay. Tuy nhiên, giải pháp này đã quá muộn đối với hơn 53,487 bản ghi đã bị phát tán.
