Trezor 13.700 người dùng bị rò rỉ thông tin, người nắm giữ tiền điện tử buộc phải "lộ danh tính"

Tiêu đề gốc: 《11.742 địa chỉ nhận hàng, cùng đơn hàng Trezor bị rò rỉ》
Tác giả gốc: KarenZ, Foresight News

Một chiếc ví phần cứng bảo vệ Bitcoin, lại là thứ đầu tiên để lộ chủ nhân của nó.

Ngày 11 tháng 8, một người dùng Trezor đăng tải chiếc Trezor Safe 3 vừa nhận được. Điều khiến anh bất ngờ không phải là thiết bị bên trong hộp, mà là nhãn vận chuyển bên ngoài: trên đó không ghi tên sản phẩm chung chung như "thiết bị điện tử", mà ghi rõ ràng——"Trezor Safe 3 Bitcoin Only".

Điều này có nghĩa là, trước khi gói hàng được giao đến, nhân viên giao hàng, nhân viên phân loại, và cả hàng xóm có thể nhìn thấy gói hàng, đều có cơ hội biết rằng người nhận đã mua một chiếc ví phần cứng Bitcoin. Người đăng bài, Angelus Borgia, cho biết đây là gói hàng gửi nội địa Hoa Kỳ, không liên quan đến khai báo hải quan quốc tế, vì vậy anh đặt câu hỏi: "Tại sao nhất định phải in đầy đủ tên sản phẩm ra bên ngoài?"

Hai ngày sau, ngày 13 tháng 8, Trezor công bố một tin tức nghiêm trọng hơn: đối tác logistics của họ là ShipMonk gặp sự cố rò rỉ dữ liệu, gần 14.000 khách hàng bị ảnh hưởng về tên, email, số điện thoại và cả địa chỉ nhận hàng.

Cần nói rõ rằng, hai sự việc này không có mối quan hệ nhân quả trực tiếp đã được xác minh. Sự việc trước là tên sản phẩm bị in trên nhãn vận chuyển, sự việc sau là hệ thống của ShipMonk bị truy cập trái phép; bài đăng đó cũng không phải là tiết lộ sớm về sự cố rò rỉ dữ liệu.

Nhưng thứ tự thời gian này vẫn đáng suy ngẫm: hai ngày trước khi Trezor công bố sự cố dữ liệu, đã có người dùng chỉ ra rằng khâu logistics của họ đang phơi bày "ai đã mua ví phần cứng Bitcoin" cho những người không cần thiết.

Hai sự việc này khác nhau về hình thức, nhưng lại hé lộ cùng một vấn đề: ví phần cứng có thể bảo vệ khóa riêng tư, nhưng không thể một mình cắt đứt mối liên hệ giữa ví và danh tính thực tế của người dùng.

13.689 khách hàng, rốt cuộc đã rò rỉ những gì?

Theo thông báo của Trezor, đối tác logistics của họ là ShipMonk đã thông báo cho Trezor vào ngày 10 tháng 8 rằng có kẻ trái phép đã truy cập vào hệ thống lưu trữ dữ liệu khách hàng. Khi Trezor công bố sự việc ra bên ngoài vào ngày 13 tháng 8, họ cho biết cuộc điều tra vẫn đang tiếp tục.

Trezor hiện liệt kê hai nhóm khách hàng bị ảnh hưởng với tổng số 13.689 người:

· 11.742 người bị lộ họ tên, địa chỉ email, số điện thoại và địa chỉ giao hàng đầy đủ;

· 1.947 người bị lộ họ tên, thành phố và địa chỉ email, nhưng không bao gồm địa chỉ giao hàng chi tiết.

Thông báo cho biết, dữ liệu đầy đủ bị lộ chủ yếu liên quan đến khách hàng tại Mỹ, Anh, Thụy Điển, Colombia, Brazil, Ý và Bồ Đào Nha, những người đã nhận được đơn hàng do ShipMonk xử lý trong khoảng thời gian từ ngày 10 tháng 5 đến ngày 8 tháng 8 năm 2026.

Trezor ban đầu yêu cầu chính mình và các đối tác logistics xóa hoặc ẩn danh dữ liệu liên quan sau 90 ngày kể từ khi hoàn tất đơn hàng. Tuy nhiên, Trezor sau đó bổ sung rằng trong số 1.947 khách hàng chỉ bị lộ một phần dữ liệu nêu trên, có thể bao gồm các đơn hàng sớm hơn, và hiện vẫn đang xác minh chính xác phạm vi thời gian với ShipMonk.

Theo tuyên bố hiện tại của Trezor, họ đã liên hệ riêng với tất cả khách hàng được xác nhận bị ảnh hưởng qua địa chỉ help@trezor.io; nếu không nhận được email thông báo, thì không nằm trong phạm vi xác nhận lần này.

Trezor đồng thời nhấn mạnh rằng hệ thống, sản phẩm và dịch vụ của họ không bị xâm nhập, và ví phần cứng, khóa riêng tư cũng như bản sao lưu ví không nằm trong phạm vi rò rỉ lần này. Nói cách khác, đây không phải là việc kẻ tấn công phá vỡ thiết bị Trezor và trực tiếp chuyển tài sản, mà là rò rỉ dữ liệu khách hàng xảy ra trong hệ thống logistics của bên thứ ba.

Sự khác biệt này rất quan trọng, nhưng "thiết bị không bị xâm nhập" không đồng nghĩa với "người dùng không có rủi ro bảo mật".

Rò rỉ không phải là khóa riêng tư, mà là "ai có thể đang nắm giữ tài sản tiền mã hóa"

Họ tên, số điện thoại và địa chỉ tự bản thân chúng không thể mở khóa một ví tiền mã hóa, và việc mua ví phần cứng cũng không chứng minh được ai đó vẫn đang nắm giữ tài sản tiền mã hóa, càng không thể hiện quy mô tài sản của họ.

Vấn đề thực sự nằm ở chỗ, những thông tin này đã bị gắn một nhãn đặc biệt: người này từng mua ví phần cứng.

Đối với kẻ lừa đảo, họ tên chính xác, thương hiệu thiết bị, dữ liệu đơn hàng và địa chỉ nhà có thể làm tăng đáng kể độ tin cậy của các chiêu trò lừa đảo. Kẻ tấn công có thể giả mạo Trezor, sàn giao dịch, ngân hàng hoặc công ty logistics, nói chính xác thông tin thực của người nhận, sau đó lấy lý do "nâng cấp bảo mật", "thu hồi thiết bị", "di chuyển ví" hoặc "xác minh tài khoản" để dụ họ quét mã QR, cài đặt phần mềm độc hại hoặc nộp cụm từ khôi phục.

Hơn nữa, kênh tấn công không chỉ giới hạn ở email.

Vào tháng 2 năm 2026, trang tin bảo mật BleepingComputer đưa tin rằng ai đó đã gửi thư giả mạo chính thức đến người dùng Trezor và Ledger, yêu cầu người nhận quét mã QR để hoàn tất cái gọi là "xác minh danh tính" hoặc "kiểm tra giao dịch". Mã QR cuối cùng dẫn đến các trang web ví giả mạo và yêu cầu người dùng nhập cụm từ khôi phục.

Báo cáo này không xác nhận các địa chỉ nhận hàng này cụ thể đến từ vụ rò rỉ dữ liệu nào. Nhưng ít nhất nó chứng minh rằng, một khi địa chỉ nhà bị liên kết với danh tính người dùng ví phần cứng, kẻ tấn công thực sự có thể đưa email lừa đảo từ hộp thư điện tử đến thế giới thực.

Nick Neuman, đồng sáng lập Casa, do đó cảnh báo rằng vụ rò rỉ địa chỉ lần này có thể làm tăng nguy cơ tấn công có chủ đích (social engineering) thậm chí là ép buộc ngoài đời thực; Luke de Wolf, chuyên gia an ninh mạng Bitcoin và là tác giả cuốn "Defending Bitcoin" (Bảo vệ Bitcoin), nhấn mạnh rằng bị xâm nhập là nhà cung cấp dịch vụ của Trezor, chứ không phải thiết bị Trezor, đồng thời khuyến nghị người dùng khi mua các sản phẩm liên quan đến Bitcoin nên cân nhắc sử dụng hòm thư bưu điện hoặc các địa chỉ nhận hàng không phải tại nhà.

Những cảnh báo này là đánh giá rủi ro, không có nghĩa là mọi khách hàng đều sẽ gặp phải lừa đảo hoặc đe dọa về thân thể. Nhưng nếu kẻ tấn công đồng thời nắm được tên, số điện thoại, địa chỉ và thông tin thiết bị, người bị ảnh hưởng rõ ràng không nên chỉ coi những lá thư đến như thư rác thông thường.

Tranh cãi về nhãn vận chuyển ngày 11 tháng 8 cũng thuộc về vấn đề này. Rò rỉ cơ sở dữ liệu đòi hỏi kẻ tấn công phải xâm nhập vào hệ thống trước, còn việc ghi trực tiếp dòng chữ "Bitcoin Only" trên thùng ngoài lại là chủ động phơi bày nội dung cho nhiều người hơn trong quá trình vận chuyển bình thường. Trước là sự cố bảo mật, sau là thiếu ý thức tối thiểu hóa dữ liệu; mức độ rủi ro khác nhau, nhưng cả hai đều mở rộng phạm vi tiết lộ thông tin không cần thiết.

Ví phần cứng liên tiếp gặp sự cố, nhưng rủi ro không giống nhau

Xoay quanh vụ rò rỉ lần này, cuộc thảo luận nhanh chóng vượt ra ngoài phạm vi Trezor, trở thành một vấn đề lớn hơn: Ví phần cứng còn đáng tin cậy không?

Đáng chú ý, ZachXBT từng tuyên bố trên Telegram vào ngày 16 tháng 7 rằng anh không khuyến nghị sử dụng ví phần cứng để lưu trữ số tiền quan trọng, và cho rằng chuẩn bị một chiếc iPhone chuyên dụng sẽ tốt hơn. Đây là đánh giá của ZachXBT về phương án bảo mật cá nhân.

So với việc ZachXBT phủ nhận hoàn toàn ví phần cứng, phát biểu của Zhao Changpeng (CZ) kiềm chế hơn. Ngày 13 tháng 8, khi bình luận về sự kiện Trezor, ông cho biết ví phần cứng trong một số khía cạnh thường vẫn an toàn hơn ví phần mềm, nhưng cả hai có cấu trúc rủi ro khác nhau: ví tự quản lý (self-custody) bằng phần mềm không cần mua và vận chuyển thiết bị vật lý, do đó không liên kết danh tính người dùng, địa chỉ nhà với hồ sơ mua ví phần cứng trong khâu giao hàng.

Zhao Changpeng đồng thời nhấn mạnh rằng ông không cho rằng ví phần cứng "không tốt", mà mong người dùng hiểu được sự đánh đổi giữa bảo mật, quyền riêng tư và sự tiện lợi. Cần bổ sung thêm rằng, việc mua ví phần cứng không chứng minh một người vẫn đang nắm giữ tài sản tiền mã hóa, nhưng loại hồ sơ này có thể khiến họ bị xem là người tiềm năng nắm giữ coin, từ đó làm tăng rủi ro lừa đảo, tấn công có chủ đích (social engineering) và rủi ro an ninh ngoài đời thực.

Tuy nhiên, dù đồng ý với quan điểm nào, việc đánh giá ví phần cứng có an toàn hay không không thể gộp chung mọi sự kiện lại với nhau. Trezor, COLDCARD và Ledger dù đều bị xếp vào nhóm "sự cố an toàn ví phần cứng", nhưng khâu thực sự xảy ra vấn đề và hậu quả gây ra lại không giống nhau.

Sự cố COLDCARD gần đây thuộc một loại rủi ro khác.

Ngày 30 tháng 7, nhà sản xuất ví phần cứng Coldcard là Coinkite đã công bố cảnh báo an toàn, cảnh báo rằng hạt giống ví được tạo ra bằng COLDCARD Mk3 với phiên bản firmware cụ thể có thể gặp rủi ro. Phạm vi ảnh hưởng bắt đầu từ phiên bản 4.0.1 phát hành tháng 3 năm 2021, kéo dài đến phiên bản 5.0.3 cuối cùng hỗ trợ Mk3. Theo phân tích ban đầu của Coinkite vào thời điểm đó, Mk4, Q và Mk5 không bị ảnh hưởng. Đây là vấn đề liên quan đến quá trình tạo khóa của thiết bị, có sự khác biệt về bản chất với sự cố rò rỉ dữ liệu logistics của Trezor lần này.

Đến ngày 7 tháng 8, theo tiết lộ của Galaxy Research, dựa trên báo cáo từ nạn nhân, hiện đã có độ tin cậy cao rằng khoảng 1.719 bitcoin (trị giá khoảng 111 triệu USD) đã bị đánh cắp do lỗ hổng ví phần cứng Coldcard, vẫn còn nhiều khoản tiền đáng ngờ đang được xác minh, dự kiến tổng thiệt hại có thể vượt quá 130 triệu USD.

Sự cố Global-e của Ledger xảy ra vào tháng 1 năm 2026 lại tương đồng hơn với Trezor. Bên bị tấn công là đối tác thương mại điện tử bên thứ ba của Ledger, dữ liệu bị lộ bao gồm tên khách hàng, thông tin liên hệ và chi tiết đơn hàng; Ledger vào thời điểm đó cho biết hệ thống phần cứng và phần mềm của họ không bị ảnh hưởng, dữ liệu thanh toán, mật khẩu và cụm khôi phục cũng không bị rò rỉ.

Do đó, ít nhất cần phân biệt ba loại vấn đề:

Một là lỗi thiết bị hoặc firmware, có thể ảnh hưởng đến việc tạo khóa, lưu trữ hoặc ký giao dịch; hai là rò rỉ cơ sở dữ liệu của nhà sản xuất và nhà cung cấp dịch vụ, có thể làm lộ danh tính khách hàng và thông tin đơn hàng; ba là sự phơi bày quá mức trong quy trình logistics, đóng gói và chăm sóc khách hàng, khiến những người không cần thiết tiếp cận được thông tin nhạy cảm.

Người bị ảnh hưởng nên làm gì bây giờ?

Trước tiên, đừng tin rằng người liên hệ đến từ Trezor chỉ vì họ biết tên thật, địa chỉ, số điện thoại, thông tin đơn hàng hoặc thậm chí model thiết bị của bạn. Ngược lại, nên hiểu theo hướng này: đối phương càng biết chi tiết cụ thể, càng có khả năng họ đang lợi dụng dữ liệu bị rò rỉ để tăng độ tin cậy cho trò lừa đảo.

Đừng nhấp vào các liên kết lạ trong thông báo bảo mật, cũng đừng quét mã QR không rõ nguồn gốc. Khi cần xem tiến trình sự kiện, bạn nên tự nhập tên miền chính thức của Trezor hoặc truy cập từ các tài khoản chính thức đã được xác nhận. Ví phần cứng, sàn giao dịch và những "nhân viên điều tra bảo mật" đều không cần cụm từ khôi phục ví của bạn để xác minh danh tính.

Đối với những người dùng có địa chỉ nhà bị lộ, bạn cũng nên hạn chế công khai số dư tài sản, vị trí cư trú, kế hoạch du lịch và ảnh cá nhân trên mạng xã hội. Nếu nhận được các mối đe dọa rõ ràng về thân thể, tống tiền hoặc thông tin gõ cửa đáng ngờ, bạn nên lưu giữ bằng chứng và liên hệ với cơ quan thực thi pháp luật địa phương, thay vì tự mình trao đổi với đối phương.

Khi mua ví phần cứng hoặc các sản phẩm bảo mật nhạy cảm khác trong tương lai, bạn có thể cân nhắc sử dụng email tách biệt với danh tính hàng ngày; nếu điều kiện địa phương và pháp luật cho phép, sử dụng tủ nhận hàng, hộp thư hoặc các địa chỉ nhận hàng không phải nhà riêng cũng có thể giảm bớt mối liên hệ trực tiếp giữa địa chỉ nhà và sản phẩm.

Trezor cho biết đang phát triển dịch vụ "giao hàng ẩn danh", dự kiến áp dụng quy trình thanh toán chuyên biệt, tủ nhận hàng, bao bì trung tính, thông tin người gửi ẩn danh và tự động xóa các dấu hiệu nhận dạng liên quan sau khi giao hàng hoàn tất. Mục tiêu là ra mắt tại Liên minh Châu Âu vào tháng 9 năm 2026 và mở rộng sang Hoa Kỳ trước cuối năm.

Bảo mật bắt đầu từ trước khi ví phần cứng được khởi động

Điều mà sự kiện này thực sự cho thấy là: bảo mật không thể chỉ bắt đầu từ lần đầu tiên người dùng khởi động thiết bị.

Khi mặt ngoài của một gói hàng ghi thẳng chữ "Bitcoin Only", khi cơ sở dữ liệu logistics có thể đối chiếu tên, số điện thoại và địa chỉ nhà với đơn hàng ví phần cứng, thì ngay cả khi khóa riêng tư bên trong thiết bị chưa từng bị rò rỉ, ranh giới an toàn của người dùng cũng đã bị đẩy ra ngoài.

Đối với một công ty bán công cụ tự chủ tài chính, việc thu thập ít dữ liệu hơn, lưu trữ ít dữ liệu hơn và để ít người biết ai đã mua thứ gì, cũng nên là một phần của bảo mật sản phẩm.

Liên kết bài viết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia