Lỗ hổng bảo mật SafePal 2026: Gần 40.000 khách hàng bị lộ thông tin, so sánh với Ledger và Trezor

Vào ngày 16 tháng 8 năm 2026, nhà cung cấp ví cứng SafePal đã công bố một vụ vi phạm dữ liệu làm lộ thông tin đơn hàng cá nhân của khoảng 39.798 khách hàng . Một lỗ hổng ủy quyền trong plugin theo dõi đơn hàng của SafePal đã cho phép truy cập trái phép vào dữ liệu khách hàng của các đơn hàng được đặt từ ngày 2 tháng 3 năm 2025 đến ngày 11 tháng 4 năm 2026 . Mặc dù không có thông tin đăng nhập ví, cụm từ hạt giống (seed phrase), khóa riêng tư hay dữ liệu tài chính nào bị xâm phạm , nhưng dữ liệu bị lộ tạo ra rủi ro lừa đảo (phishing) đáng kể cho những người dùng bị ảnh hưởng . Vụ việc của SafePal xảy ra chỉ ba ngày sau khi Trezor tiết lộ một vụ vi phạm riêng biệt, nâng tổng số hồ sơ khách hàng ví cứng bị rò rỉ trong vòng một tuần lên hơn 53.000 hồ sơ .

Dữ liệu nào đã bị lộ trong vụ vi phạm SafePal?

SafePal xác nhận rằng những thông tin sau đã bị kẻ tấn công truy cập trong thời gian diễn ra sự cố :

• Tên khách hàng
• Địa chỉ email
• Địa chỉ giao hàng
• Số điện thoại
• Chi tiết mua hàng và lịch sử đơn hàng

SafePal tuyên bố rõ ràng rằng những dữ liệu nhạy cảm sau đây không bị truy cập vì công ty không bao giờ thu thập hoặc lưu trữ thông tin này từ khách hàng :

• Cụm từ hạt giống (Seed phrases)
• Khóa riêng tư (Private keys)
• Mật khẩu ví hoặc các thông tin đăng nhập ví khác
• Thông tin tài khoản ngân hàng
• Số thẻ thanh toán
• Số giấy tờ tùy thân do chính phủ cấp

Công ty cũng xác nhận không có bằng chứng nào cho thấy sự cố này ảnh hưởng đến quyền truy cập vào ví hoặc số dư SafePal .

Vụ việc xảy ra như thế nào?

SafePal xác định một lỗ hổng ủy quyền trong plugin theo dõi đơn hàng — một thành phần được sử dụng để giám sát đơn hàng của khách hàng . Lỗ hổng này cho phép plugin cho phép một khách hàng xem dữ liệu đơn hàng của khách hàng khác mà không có sự ủy quyền hợp lệ . Vấn đề đã được khắc phục sau khi phát hiện và SafePal cho biết các biện pháp bảo mật bổ sung đã được triển khai .

Vụ vi phạm kéo dài trong khoảng 13 tháng, từ ngày 2 tháng 3 năm 2025 đến ngày 11 tháng 4 năm 2026 . SafePal đã công bố sự cố thông qua một bài đăng trên X (Twitter) và một bản cập nhật bảo mật trên blog chính thức của mình vào ngày 16 tháng 8 năm 2026 .

Rủi ro lừa đảo và cảnh báo

Mặc dù ví và tiền trong ví SafePal vẫn an toàn, nhưng dữ liệu bị lộ là mục tiêu hấp dẫn đối với tội phạm mạng. Tên thật, địa chỉ nhà và lịch sử mua hàng đã được xác thực là nhiên liệu lý tưởng cho các cuộc tấn công lừa đảo có chủ đích (spear phishing), mạo danh và đánh cắp danh tính .

SafePal đã cảnh báo những người dùng bị ảnh hưởng nên cảnh giác với các nỗ lực lừa đảo và mạo danh . Các nhà quan sát trong ngành lưu ý rằng hơn 30 trang web lừa đảo đã được liên kết với vụ vi phạm này . Rủi ro đặc biệt nghiêm trọng vì dữ liệu xác nhận nạn nhân sở hữu một mẫu ví cứng cụ thể, bao gồm cả địa chỉ giao hàng, tạo điều kiện cho các vụ lừa đảo có độ tin cậy cao.

Cách kiểm tra xem bạn có bị ảnh hưởng không?

SafePal đã thông báo cho những khách hàng bị ảnh hưởng qua email và cung cấp một trang xác minh chính thức nơi khách hàng có thể kiểm tra trạng thái của mình bằng mã đơn hàng và quốc gia giao hàng .

So sánh với các vụ vi phạm ví cứng trước đây

Vụ vi phạm SafePal là vụ rò rỉ dữ liệu lớn thứ ba trong ngành công nghiệp ví cứng trong vòng khoảng một tuần và lặp lại mô hình của vụ rò rỉ Ledger khổng lồ năm 2020.

Vụ vi phạm Ledger 2020

• Ngày công bố: Tháng 7 năm 2020
• Phạm vi: Khoảng 1 triệu địa chỉ email và 272.000 hồ sơ khách hàng chi tiết (họ tên đầy đủ, địa chỉ, số điện thoại)
• Nguồn gốc: Khóa API thương mại điện tử bị xâm phạm
• Số dư ví có bị ảnh hưởng? Không
• Hậu quả: Dữ liệu bị đánh cắp đã được công khai trên RaidForums vào tháng 12 năm 2020, dẫn đến các chiến dịch lừa đảo kéo dài nhiều năm nhắm vào khách hàng của Ledger

Vụ vi phạm Trezor (tháng 8 năm 2026)

• Ngày công bố: 13 tháng 8 năm 2026
• Phạm vi: 13.689 khách hàng — 11.742 người bị lộ toàn bộ thông tin cá nhân (tên, email, số điện thoại, địa chỉ giao hàng); 1.947 người bị lộ một phần
• Nguồn gốc: Vi phạm tại nhà cung cấp dịch vụ vận chuyển bên thứ ba ShipMonk
• Số dư ví có bị ảnh hưởng? Không

Vụ vi phạm SafePal (tháng 8 năm 2026)

• Ngày công bố: 16 tháng 8 năm 2026
• Phạm vi: 39.798 khách hàng
• Nguồn gốc: Lỗ hổng ủy quyền trong plugin theo dõi đơn hàng nội bộ
• Số dư ví có bị ảnh hưởng? Không

Sự khác biệt chính và bài học

1. Khối lượng: Vụ rò rỉ Ledger 2020 lớn hơn nhiều (1 triệu email so với 40.000 của SafePal và ~14.000 của Trezor), và dữ liệu của nó đã được đăng tải tích cực trên một diễn đàn hacking, dẫn đến các cuộc tấn công lừa đảo kéo dài nhiều năm .

2. Véc-tơ tấn công: Mỗi vụ vi phạm có nguồn gốc khác nhau — Ledger là do khóa API bị xâm phạm; Trezor là do vi phạm từ nhà cung cấp hậu cần bên thứ ba; SafePal là do lỗ hổng ủy quyền trong plugin nội bộ của chính công ty .

3. Những gì vẫn an toàn trong cả ba sự cố: Trong mọi trường hợp, cụm từ hạt giống, khóa riêng tư và tiền trong ví đều không bị xâm phạm, và không có tiền mã hóa bị đánh cắp nào được liên kết trực tiếp với bất kỳ vụ vi phạm nào .

4. Tác động kết hợp: Khoảng thời gian ba ngày giữa vụ vi phạm của Trezor (13/8) và SafePal (16/8) đã khiến hơn 53.000 hồ sơ khách hàng ví cứng bị phơi bày, khuếch đại rủi ro lừa đảo tổng thể cho cộng đồng tiền mã hóa .