Keystone có một tin rất vui dành cho quý vị: công ty thề rằng không ai động đến cụm từ khôi phục (seed phrase) của quý vị. Tin xấu là công ty đã đánh mất khóa chủ dùng để chứng minh ví của mình là hàng thật, trao cho kẻ tấn công địa chỉ nhà riêng của hàng chục nghìn khách hàng — và giờ đây, với vẻ mặt hết sức nghiêm túc, đề nghị quý vị tin lời rằng mọi thứ khác vẫn được khóa kỹ an toàn.
Ngày 26 tháng 10, Keystone công bố thông báo về sự cố. Theo lời công ty, ngày 20 tháng 10 họ phát hiện kẻ xâm nhập trên trang web chính thức: kẻ tấn công lọt vào qua một lỗ hổng trong công cụ giám sát dữ liệu của bên thứ ba, nâng quyền và rời đi với hai chiến lợi phẩm — cơ sở dữ liệu khách hàng kèm địa chỉ giao hàng và khóa mật mã WebAuth mà Keystone dùng để xác nhận tính xác thực của từng chiếc ví.
Ai chính xác đã ghé thăm, công cụ bên thứ ba nào bị xâm nhập và kẻ xâm nhập đã ung dung ở trong hệ thống bao nhiêu tuần hay bao nhiêu tháng trước ngày 20 tháng 10, bản báo cáo không nói rõ. Thay vào đó, công ty thông báo với đôi chút tự hào về số thiết bị của chính mình giờ phải đưa vào máy ép công nghiệp: 18.835 chiếc. Việc xuất hàng từ kho đã dừng, nhưng đơn đặt trước cho lô hàng tương lai với “khóa mới” được mở ngay lập tức — quý vị chỉ cần chờ từ bốn đến sáu tuần. Và tất nhiên, nhập lại địa chỉ nhà riêng thêm một lần nữa.
Sự trớ trêu về mặt kỹ thuật đáng được ngưỡng mộ đặc biệt. Suốt nhiều năm, Keystone tự quảng bá là tiêu chuẩn vàng của bảo mật “100% air-gapped”: không Bluetooth, không Wi-Fi, không truyền dữ liệu qua USB — chỉ có camera và mã QR, để chiếc ví không bao giờ chạm vào internet. Họ anh dũng cắt dây cáp khỏi thiết bị, rồi gắn lên trang web một trình theo dõi của bên thứ ba, và qua đó một kẻ tấn công vô danh đã lần tới bí mật quý giá nhất của quy trình xác minh tại nhà máy. Hẳn đó phải là một chỉ số cực kỳ quan trọng mà họ đang theo dõi.
1. “Khóa chủ” này là gì và vì sao cả kho hàng phải vào máy hủy
Việc kiểm tra tính xác thực của Keystone rất đơn giản. Khi bật thiết bị lần đầu, quý vị truy cập trang xác minh chính thức, trang web hiển thị một mã QR, quý vị quét mã bằng camera của ví, ví trả về một dãy số và quý vị nhập lại dãy số đó lên trang web. Nếu khớp, màn hình chúc mừng quý vị đang sở hữu một thiết bị “chính hãng”.
Mở mã nguồn firmware Keystone 3, ta sẽ thấy điều gì diễn ra phía sau. Mã QR chứa một giá trị kiểm tra được mã hóa bằng RSA và ký bằng khóa của Keystone. Ví kiểm tra chữ ký và giải mã giá trị bằng một khóa RSA riêng tư. Tại nhà máy, khóa này được ghi vào bộ nhớ chỉ lập trình được một lần (OTP) — firmware gốc không cho phép ghi đè.
Nói cách khác, toàn bộ “kiểm tra tính xác thực” chỉ chứng minh đúng một sự thật: thiết bị trong tay quý vị biết một bí mật. Không phải “bo mạch được lắp ráp tại nhà máy Keystone”, không phải “bên trong không có con chip nào thừa”, không phải “bộ sinh số ngẫu nhiên trung thực”. Chỉ là “nó biết bí mật”. Chính bí mật mà theo lời thừa nhận của công ty, giờ đã nằm trong tay kẻ tấn công. Bản thân trang xác minh vẫn chạy đều như đồng hồ — chỉ có điều giờ đây bất kỳ hàng giả nào cũng có thể làm sáng lên dấu tích xanh đáng mơ ước ấy.
Trong thông cáo báo chí, Keystone vội trấn an công chúng: khóa bị đánh cắp không tham gia vào việc tạo cụm từ khôi phục, dẫn xuất khóa riêng tư hay ký giao dịch. Về mặt kỹ thuật, đó là sự thật — chỉ có điều chính chiếc khóa này đã thuyết phục người mua rằng có thể giao phó cụm từ khôi phục cho chiếc hộp ấy. Chuyện vặt.
Thú vị hơn nữa là một chi tiết lộ ra trong mô tả việc thay thế: toàn bộ 18.835 chiếc ví trong kho mang khóa “cũ”, còn lô tiếp theo sẽ nhận khóa “mới”. Từ đó suy ra một kết luận kiến trúc tuyệt vời: thay vì chứng chỉ riêng cho từng thiết bị, Keystone dường như đã đóng một bí mật chung cho cả một lô hàng. Sự tiết kiệm hóa ra mẫu mực: chỉ cần rò rỉ một khóa duy nhất là không còn số sê-ri cụ thể nào để thu hồi — cả kho đều lên thớt.
Hơn thế nữa, để tạo mã QR xác minh, trang web chỉ cần nửa công khai của khóa. Thế nhưng nửa riêng tư, thứ mà thiếu nó thì không ai có thể trả lời bài kiểm tra thay cho thiết bị, dường như vẫn nằm thoải mái ở đâu đó có thể với tới qua máy chủ web. Cất khóa chủ của niêm phong nhà máy dưới tấm thảm chùi chân của cửa hàng trực tuyến — đó quả là một chương hoàn toàn mới của ngành mật mã học.
2. Giờ đây có thể làm gì với chiếc khóa này
Kịch bản tấn công chính được chính Keystone mô tả: nắm trong tay bí mật bị đánh cắp, tội phạm có thể sản xuất hàng loạt ví giả vượt qua trót lọt bài kiểm tra tính xác thực chính thức trên trang web, bán chúng qua các đại lý hoặc dưới dạng hàng cũ — rồi rút sạch số dư của người mua. Hiện chưa có báo cáo nào về hàng giả đang lưu hành.
Để cướp tiền của chủ sở hữu, hàng giả không cần firmware Keystone gốc cũng không cần khóa ký mã của nhà máy (thứ mà công ty thề là không bị ảnh hưởng). Bên trong một vỏ nhựa trông giống hệt có thể là bất kỳ bo mạch rẻ tiền nào, trong lúc thiết lập sẽ đưa cho quý vị một cụm từ khôi phục 24 từ do kẻ trộm chuẩn bị sẵn. Bí mật OTP bị đánh cắp chỉ phục vụ con mồi này đúng một mục đích — trả lời chính xác mã QR đầu tiên và ru ngủ người mua cẩn trọng bằng dòng chữ “Verification Successful”.
Đó là lý do 18.835 chiếc ví thành phẩm bị đưa đi làm phế liệu. Bộ nhớ của chúng chỉ lập trình được một lần — không thể cập nhật khóa từ xa. Việc phân biệt qua trang web giữa ví thật mang khóa “cũ” với bản sao tự chế mang cùng khóa đó giờ cũng là điều bất khả thi. Rốt cuộc, công cụ “xoay vòng khóa” duy nhất mà thiết kế dự liệu hóa ra lại là chiếc máy hủy công nghiệp. Keystone hoa mỹ gọi việc tiêu hủy lô hàng là “một quyết định tốn kém nhưng đúng đắn” — trong khi thực tế, chính kiến trúc của họ đã không để lại lựa chọn nào khác.
3. Người đàn ông cầm dao bên giường: ai chỉ định kẻ bị tấn công làm người bảo lãnh?
Hãy xem khuyến nghị chính thức của Keystone dành cho những người đã mua ví:
- Nhận thiết bị trước ngày 20 tháng 10 và thiết bị vượt qua kiểm tra — tiếp tục sử dụng, không cần chuyển tiền mã hóa sang ví khác.
- Nhận thiết bị mang khóa cũ sau ngày 20 tháng 10 — không sử dụng cho đến khi bộ phận hỗ trợ (support@keyst.one) xác nhận thủ công tính xác thực. Chính công ty thừa nhận sự bất lực của mình: ngay cả khi chiếc ví đó vượt qua kiểm tra trên trang web, họ cũng không còn loại trừ được khả năng hàng giả. Người mua phải làm cách nào để biết ví của mình mang khóa “cũ” hay “mới”, theo The Hacker News tính đến ngày 27 tháng 10, Keystone đã quên giải thích. Bộ phận hỗ trợ sẽ thay thế mật mã đã bị xâm phạm bằng gì cũng vẫn là bí ẩn — có lẽ họ sẽ xem bói qua ảnh chụp chiếc hộp.
- Không có đợt thu hồi. Không ai được yêu cầu gửi trả thứ gì, và mọi email hay cuộc gọi về “thay ví” hoặc “cứu tiền” đều bị tuyên bố là lừa đảo.
Toàn bộ cẩm nang giải cứu này dựa vào mốc ngày 20 tháng 10. Trong các phản hồi dưới bài đăng của chính mình, đại diện Keystone tự tin khẳng định khóa bị rò rỉ vào ngày 20 tháng 10. Thế nhưng bản thông cáo lại gọi ngày 20 tháng 10 là ngày phát hiện vụ xâm nhập, còn thời điểm kẻ tấn công lần đầu có quyền truy cập vào hệ thống thì được khiêm tốn bỏ qua. Tất cả những ai nhận bưu kiện vào ngày 19 được mời tin vào một sự trùng hợp thần kỳ: rằng tin tặc đột nhập, rút cơ sở dữ liệu cùng chiếc khóa và bị bắt quả tang ngay trong cùng một ngày.
Nhưng câu hỏi cốt lõi ở đây còn gay gắt hơn: bản thân Keystone làm sao biết được thứ gì đã bị đánh cắp và thứ gì thì không?
Hãy nhìn xem ai đang đóng vai chuyên gia trước mặt quý vị. Tất cả những câu thần chú này — “khóa ký firmware vẫn an toàn”, “thiết bị cũ không bị ảnh hưởng”, “trong một tháng chúng tôi sẽ giao lô hàng mới an toàn” — đến từ một công ty vừa bị vét sạch qua một plugin bên thứ ba trên chính trang web của mình. Mới hôm qua, những người này còn không hay biết rằng bí mật gốc trong quy trình xác minh phần cứng của họ đang bị mang đi ngay trước mũi. Suốt hai năm liền, họ không nhận ra rằng đoạn mã xóa địa chỉ khách hàng của mình không hoạt động. Và hôm nay, cũng chính những người ấy nghiêm trang ban cho quý vị một tờ xá tội và cam kết bảo đảm rằng tin tặc đã nhìn vào những thư mục nào và cao thượng bỏ qua những thư mục nào.
Kẻ đã để rò rỉ thì không còn là người bảo lãnh. Nếu hôm qua họ không biết gì về vụ xâm nhập này, thì ngày mai họ sẽ biết về vụ tiếp theo bằng cách nào? Đâu là bảo đảm rằng “khóa mới”, thứ họ đang nhận đặt trước, sẽ không lọt ra qua một lỗ hổng khác trước khi dây chuyền lắp ráp xuất xưởng một nghìn chiếc hộp đầu tiên?
4. Hai năm hứa hão về việc xóa dữ liệu và 13 nghìn người thậm chí chưa mua gì
Khóa bị xâm phạm ít ra còn có thể thay trong phần cứng mới. Địa chỉ nhà của quý vị thì không thể cấp lại theo đơn đặt trước.
Kẻ tấn công đã lấy đi 25.964 bản ghi khách hàng từ cửa hàng Shopify chính thức của Keystone trong giai đoạn 2024–2026: họ tên đầy đủ, số điện thoại, email, địa chỉ giao hàng tận nhà chính xác, cùng nội dung và tổng giá trị của mỗi đơn hàng. Đi cùng với chúng còn có 12.873 đơn hàng nháp chưa thanh toán kèm tên, số điện thoại và địa chỉ. Nghĩa là gần mười ba nghìn người thậm chí chưa từng mua chiếc ví xấu số này — họ chỉ ghé trang web, nhập địa chỉ để xem phí vận chuyển, đổi ý và đóng tab. Vậy mà vẫn bị đưa vào danh sách rò rỉ những người nắm giữ tiền mã hóa.
Nhưng đáy thật sự của câu chuyện này là phần lớn các bản ghi đó lẽ ra đã không còn tồn tại trong cơ sở dữ liệu. Keystone từng chính thức hứa với khách hàng sẽ xóa dữ liệu giao hàng sau 180 ngày. Mọi người đặt ví phần cứng về địa chỉ nhà, tin rằng dấu vết sẽ biến mất sau nửa năm. Khi tin tặc đã mang cơ sở dữ liệu đi, người ta mới bất ngờ phát hiện công cụ xóa hàng loạt trên Shopify đã báo lỗi suốt thời gian qua và không ai trong công ty thậm chí kiểm tra xem có dòng nào bị xóa hay không. Giờ đây Keystone ngượng ngùng giơ tay chịu thua, hứa rút ngắn thời hạn lưu trữ xuống 90 ngày và long trọng thề sẽ xóa các kho lưu trữ cũ trước ngày 3 tháng 11 — ngay sau khi kẻ tấn công đã tải chúng xuống.
Nếu một công ty suốt hai năm thề rằng đang xóa dữ liệu của quý vị trong khi thực ra lại tích trữ chúng vào một con heo đất cho tin tặc, thì mức tin cậy mà lời nói của họ xứng đáng nhận được chính xác là bằng không. Hãy hình dung quý vị thức dậy giữa đêm và thấy một người thân đứng bên giường, tay cầm dao. Rồi người đó bình thản nói: “Đừng lo, tôi chỉ tự nhiên muốn đứng đây cầm dao thôi. Có thể tôi cũng định đâm một nhát, nhưng cứ quay sang bên kia mà ngủ tiếp — tôi đã ghi nhận sự cố này, đã rút kinh nghiệm, và đúng sự cố này sẽ không bao giờ lặp lại.” Những lời hứa của Keystone hôm nay về việc xóa địa chỉ sau 90 ngày thay vì 180 ngày và canh giữ khóa chủ tiếp theo cẩn thận hơn nghe đại loại như vậy.
Một cơ sở dữ liệu bị rò rỉ có ý nghĩa gì trong thực tế thì hầu như không cần giải thích. Đó là một danh bạ địa chỉ dựng sẵn của những người chắc chắn có thứ đáng lấy trong nhà — kèm họ tên, số điện thoại và số căn hộ. Với kẻ lừa đảo qua điện thoại, đó là cuộc gọi được hậu thuẫn bằng chi tiết đơn hàng thật: một người mua đã viết trong chuỗi bài của Keystone rằng kẻ lừa đảo gọi cho anh và gọi đúng tên thật của anh. Với những kẻ dò nhà để trộm và những tay ưa “tấn công bằng cờ lê 5 đô la”, đó là bản đồ lộ trình có sẵn. Muốn kiếm tiền từ khóa WebAuth bị đánh cắp thì phải hàn bo mạch giả và dựng kênh phân phối. Muốn kiếm tiền từ cơ sở dữ liệu Shopify bị rò rỉ thì chỉ cần một chiếc xà beng và một tấm vé tàu.
5. Tổng kết: cái giá của một “niêm phong nhà máy”
Hãy ghép toàn bộ cấu trúc lại. Người mua được bán một chiếc ví phần cứng “air-gapped hoàn toàn”, tự tạo cụm từ khôi phục và ký giao dịch chuyển tiền bên trong một chiếc hộp niêm phong. Để quý vị không ngại giao khoản tiết kiệm cho chiếc hộp ấy, nhà sản xuất đề nghị kiểm tra tính xác thực của nó trên trang web. Trên thực tế, việc kiểm tra dựa vào một bí mật chung duy nhất cho cả một lô hàng trong kho, và bản thân bí mật ấy nằm ở đâu đó có thể với tới qua một trình theo dõi bên thứ ba đầy lỗ hổng trên máy chủ web.
Chưa hết. Để chiếc hộp quý giá đến được tay mình, quý vị để lại cho cửa hàng họ tên, số điện thoại và địa chỉ nhà với lời hứa bản ghi sẽ bị xóa sau nửa năm. Đoạn mã xóa không hoạt động suốt hai năm, không ai nhận ra, và toàn bộ kho lưu trữ cùng khóa chủ xác minh trôi sang tay kẻ tấn công. Và khi thảm họa vỡ lở, chính công ty đã ngủ quên trong lúc bị xâm nhập và tích trữ địa chỉ của quý vị suốt hai năm ấy bước lên bục, đề nghị quý vị tin lời rằng các khóa khác vẫn nguyên vẹn, ví trước ngày 20 tháng 10 vẫn an toàn, và một tháng nữa sẽ có lô hàng mới chắc chắn đáng tin cậy.
Keystone đưa gần 19 nghìn thiết bị của chính mình vào máy ép công nghiệp đơn giản vì không còn phân biệt được sản phẩm của mình với hàng giả. Nhân tiện, 38.837 người đã có “hộ khẩu thường trú” trong các cơ sở dữ liệu tội phạm, kèm theo địa chỉ nhà chính xác. Một bài học hay cho những ai vẫn tin rằng một dấu tích xanh xinh xắn trên trang web của nhà sản xuất và dòng chữ “Air-Gapped” trên hộp có thể thay thế cho bảo mật thực sự.