SafePal làm lộ dữ liệu gần 40.000 khách hàng

SafePal, một trong những nhà cung cấp ví tiền mã hóa phổ biến, vừa xác nhận xảy ra sự cố bảo mật khiến thông tin cá nhân của gần 40.000 khách hàng có nguy cơ bị truy cập trái phép. Theo thông báo của SafePal, nguyên nhân xuất phát từ một lỗ hổng liên quan đến cơ chế phân quyền trong hệ thống theo dõi đơn hàng của công ty.

Cụ thể, SafePal cho biết sự cố đã ảnh hưởng đến khoảng 39.798 khách hàng từng đặt mua sản phẩm trong khoảng thời gian từ ngày 2/3/2025 đến ngày 11/4/2026. Những dữ liệu bị lộ bao gồm tên khách hàng, địa chỉ email, địa chỉ giao hàng, số điện thoại và thông tin liên quan đến đơn hàng.

Đáng chú ý, SafePal khẳng định sự cố không làm lộ các thông tin quan trọng được sử dụng để kiểm soát ví tiền mã hóa. Theo công ty, seed phrase, private key, mật khẩu ví và các thông tin xác thực khác của ví không nằm trong phạm vi dữ liệu bị ảnh hưởng. Thông tin tài khoản ngân hàng, số thẻ thanh toán và giấy tờ tùy thân do cơ quan nhà nước cấp cũng không bị liên quan.

SafePal đồng thời cho biết chưa phát hiện bằng chứng cho thấy sự cố này đã trực tiếp khiến các ví SafePal hoặc tài sản của khách hàng bị truy cập trái phép. Điều này có nghĩa là việc thông tin cá nhân bị lộ không đồng nghĩa với việc tiền mã hóa được lưu trữ trong ví đã bị đánh cắp.

Tuy nhiên, dữ liệu cá nhân bị lộ vẫn có thể tạo ra rủi ro đáng kể đối với người dùng. SafePal cảnh báo kẻ xấu có thể sử dụng tên, email, số điện thoại và thông tin đơn hàng để thực hiện các chiến dịch lừa đảo có chủ đích. Trong một kịch bản phổ biến, kẻ tấn công có thể giả danh nhân viên SafePal và liên hệ với khách hàng với lý do hỗ trợ cập nhật firmware, hoàn tiền hoặc thay thế thiết bị.

Sau khi tạo được lòng tin bằng những thông tin liên quan đến đơn hàng thực tế, kẻ lừa đảo có thể tìm cách yêu cầu người dùng cung cấp seed phrase, private key, mật khẩu hoặc các thông tin bảo mật khác. Đây là rủi ro đặc biệt nghiêm trọng đối với người dùng ví phần cứng, bởi chỉ cần để lộ seed phrase hoặc private key, tài sản trên blockchain có thể bị chuyển đi mà gần như không thể đảo ngược.

SafePal hiện chưa công bố chính xác lỗ hổng được đưa vào hệ thống từ thời điểm nào, thời điểm các bản ghi khách hàng bắt đầu bị truy cập trái phép hay số lượng kẻ tấn công có thể đã tiếp cận dữ liệu. Công ty cũng chưa đưa ra thông tin cho thấy dữ liệu bị lộ đã được sử dụng để thực hiện các vụ tấn công tài sản của người dùng.

Sự cố của SafePal diễn ra trong bối cảnh các nhà cung cấp ví tiền mã hóa liên tục phải đối mặt với rủi ro bảo mật tại các hệ thống thương mại và đối tác bên thứ ba. Điểm đáng chú ý là những sự cố này không nhất thiết bắt nguồn từ chính phần mềm hoặc phần cứng của ví mà có thể xảy ra ở các hệ thống được sử dụng để bán hàng, xử lý đơn hàng hoặc vận chuyển thiết bị.

Trước SafePal, một sự cố liên quan đến đối tác vận chuyển ShipMonk của Trezor cũng khiến thông tin của gần 14.000 khách hàng bị ảnh hưởng. Trong đó, 11.742 khách hàng bị lộ tên, số điện thoại và địa chỉ giao hàng đầy đủ, trong khi 1.947 khách hàng khác bị ảnh hưởng ở mức tên, thành phố và địa chỉ email.

SafePal cho biết việc công ty công bố sự cố chỉ vài ngày sau thông báo của Trezor là một sự trùng hợp ngoài ý muốn và không nằm trong sự kiểm soát của SafePal.

Trước đó vào tháng 1, Ledger cũng từng thông báo cho một số khách hàng về việc tên và thông tin liên hệ bị lộ tại Global-e, đơn vị thương mại bên thứ ba xử lý một phần hoạt động mua hàng trên website của Ledger. Tương tự các sự cố nói trên, Ledger cho biết sự việc không ảnh hưởng đến ví và private key của khách hàng.

Những vụ việc liên tiếp này cho thấy rủi ro bảo mật trong ngành ví tiền mã hóa không chỉ nằm ở bản thân thiết bị phần cứng hay phần mềm ví. Các hệ thống phụ trợ như cửa hàng trực tuyến, cơ sở dữ liệu khách hàng, nền tảng xử lý đơn hàng và đơn vị vận chuyển cũng có thể trở thành mục tiêu tấn công.

Đối với người dùng SafePal, Trezor, Ledger và các loại ví phần cứng khác, việc bảo vệ thông tin cá nhân vì vậy cũng quan trọng không kém việc bảo vệ seed phrase. Người dùng nên đặc biệt cảnh giác với các email, tin nhắn hoặc cuộc gọi tự nhận là nhân viên hỗ trợ và yêu cầu cung cấp seed phrase, private key, mật khẩu hoặc thực hiện thao tác chuyển tiền để “xác minh” tài khoản.