Một vụ rò rỉ dữ liệu tại nhà cung cấp dịch vụ giao hàng của Trezor đã làm lộ thông tin cá nhân của gần 14.000 người sử dụng ví tiền mã hóa, trong đó có tên, địa chỉ, số điện thoại và email. Sự cố đang làm dấy lên lo ngại về một rủi ro ít được chú ý của hình thức tự lưu trữ tài sản kỹ thuật số: thông tin nhận diện chủ sở hữu có thể trở thành công cụ để kẻ tấn công tìm đến tài sản.

Trezor, công ty có trụ sở tại Praha, cho biết dữ liệu của 11.742 người mua thiết bị bị lộ gồm tên, địa chỉ, số điện thoại và địa chỉ email. Thông tin của 1.947 khách hàng khác gồm tên, thành phố cư trú và email cũng bị ảnh hưởng.

Những khách hàng bị tác động tại Mỹ, Anh, Colombia, Brazil, Thụy Điển, Italy và Bồ Đào Nha đã nhận thiết bị trong khoảng thời gian từ ngày 10/5 đến 8/8. Trezor cho biết đến nay chưa ghi nhận trường hợp lừa đảo, tấn công mạng hoặc mối đe dọa an toàn nào bắt nguồn từ vụ rò rỉ, nhưng cảnh báo khách hàng có thể phải đối mặt với nhiều nỗ lực lừa đảo hơn.

Rủi ro này đặc biệt đáng chú ý với người sử dụng ví phần cứng, vốn được xem là một trong những phương thức an toàn nhất để bảo vệ quyền truy cập vào tài sản kỹ thuật số. Các thiết bị này, thường có kích thước tương tự USB, lưu trữ khóa riêng tư tách biệt khỏi Internet, giúp hạn chế nguy cơ bị tấn công trực tiếp từ mạng.

Ví phần cứng, còn được gọi là ví lạnh, ngày càng phổ biến khi các nhà đầu tư tìm cách bảo vệ tài sản trước làn sóng tấn công nhằm vào các sàn giao dịch và dịch vụ tiền mã hóa. Tuy nhiên, việc tách khóa riêng tư khỏi Internet không đồng nghĩa với việc chủ sở hữu được bảo vệ khỏi mọi rủi ro.

Vụ việc tại Trezor là sự cố thứ hai trong vòng hai tuần liên quan đến người sử dụng ví lạnh. Ngày 30/7, hơn 100 triệu USD được cho là đã bị đánh cắp từ những người nắm giữ ví phần cứng Coldcard sau khi một lỗi phần mềm khiến khóa riêng tư được tạo ra không đủ an toàn.

TRM Labs, công ty phân tích tài sản kỹ thuật số, nhận định sự cố Coldcard cho thấy hình thức tự lưu trữ chỉ chuyển rủi ro từ một bên sang chủ sở hữu, thay vì loại bỏ hoàn toàn nguy cơ.

Sự gia tăng các vụ việc cho thấy thị trường tiền mã hóa đang đối mặt với một vấn đề đặc thù. Khi tài sản được kiểm soát trực tiếp bởi người sở hữu, trách nhiệm bảo mật cũng được chuyển sang chính người đó. Một khóa riêng tư bị lộ có thể dẫn đến mất tài sản, trong khi giao dịch trên blockchain thường khó đảo ngược.

Vụ rò rỉ của Trezor chưa cho thấy khóa riêng tư của khách hàng bị đánh cắp. Tuy nhiên, thông tin về danh tính, địa chỉ và việc một cá nhân đã mua ví phần cứng có thể cung cấp cho tội phạm dữ liệu cần thiết để xây dựng các chiến dịch lừa đảo có mục tiêu.

Một email giả mạo thông thường có thể được gửi đến hàng nghìn người. Nhưng khi kẻ tấn công biết một cá nhân đã mua thiết bị lưu trữ tiền mã hóa, nội dung lừa đảo có thể được thiết kế cụ thể hơn, chẳng hạn giả danh nhà cung cấp ví, dịch vụ bảo mật hoặc bộ phận hỗ trợ kỹ thuật.

Rủi ro còn vượt ra ngoài không gian mạng. Những người sở hữu lượng lớn tài sản kỹ thuật số đã trở thành mục tiêu của các vụ trộm và tấn công trực tiếp, bởi tiền mã hóa có thể được chuyển đi nhanh chóng và gần như không thể đảo ngược.

Theo Chainalysis, các vụ bắt cóc chiếm hơn một nửa trong 46 cuộc tấn công bạo lực nhằm vào nhà đầu tư tiền mã hóa được ghi nhận trong năm nay. Hơn một phần ba số vụ còn lại liên quan đến đột nhập nhà riêng. Chainalysis cho rằng số liệu thực tế nhiều khả năng cao hơn.

Một trường hợp gây chú ý xảy ra tại Pháp năm ngoái, khi đồng sáng lập một công ty ví phần cứng cùng vợ bị bắt cóc và sau đó được giải cứu. Những vụ việc như vậy cho thấy giá trị của tài sản kỹ thuật số đang tạo ra một loại rủi ro an ninh khác với các tài sản tài chính truyền thống.

Chainalysis nhận định tội phạm coi người sở hữu tiền mã hóa là mục tiêu có giá trị cao bởi tài sản của họ có thể được chuyển nhượng ngay lập tức và giao dịch gần như không thể đảo ngược. Đặc điểm này khiến tiền mã hóa hấp dẫn với tội phạm, đồng thời làm tăng giá trị của những thông tin có thể xác định danh tính và vị trí của chủ sở hữu.

Trezor đang tìm cách giảm rủi ro từ chính quá trình mua thiết bị. Công ty cho biết sẽ triển khai tùy chọn giao hàng ẩn danh tại toàn Liên minh châu Âu từ tháng 9, cho phép khách hàng mua ví phần cứng mà không cần liên kết đơn hàng với địa chỉ nhà riêng hoặc danh tính thực.

Đây là một thay đổi đáng chú ý trong cách các công ty tiền mã hóa tiếp cận bảo mật. Trước đây, trọng tâm chủ yếu đặt vào việc bảo vệ khóa riêng tư, thiết bị và phần mềm khỏi các cuộc tấn công mạng. Sự cố Trezor cho thấy dữ liệu khách hàng cũng có thể trở thành một mắt xích quan trọng trong chuỗi rủi ro.

Với người sử dụng, việc sở hữu ví lạnh có thể giảm nguy cơ mất quyền kiểm soát tài sản do tấn công trực tuyến, nhưng lại đặt ra yêu cầu cao hơn về bảo mật thông tin cá nhân. Một danh sách khách hàng bị lộ có thể trở thành đầu vào cho những cuộc tấn công được chuẩn bị kỹ hơn, đặc biệt khi kết hợp với dữ liệu công khai trên mạng xã hội hoặc các nguồn khác.

Trezor cho biết họ hiểu mức độ nghiêm trọng của sự việc và đã cảnh báo khách hàng về khả năng xuất hiện các nỗ lực lừa đảo. Công ty cũng khẳng định chưa ghi nhận trường hợp nào cho thấy vụ rò rỉ đã trực tiếp dẫn đến mất tài sản hoặc đe dọa an toàn cá nhân.