IVPN và RiseupVPN

Cuộc kiểm toán chưa được công bố. Cuộc kiểm toán Cure53 thường niên lần thứ tám được lên lịch vào tháng 7 năm 2026 và chưa có báo cáo nào cho năm 2025 hoặc 2026 được công bố, đó là lý do ngày của báo cáo mới nhất là tháng 4 năm 2024.

Sự cố tháng 8 năm 2026. Vào tháng 8 năm 2026, một kẻ tấn công đã khai thác một lỗ hổng trong BTCPay Server tự lưu trữ, trước khi lỗ hổng này được công khai, và lấy đi các khoản tiền vận hành Lightning của chính IVPN. IVPN tự nguyện công bố thông tin này bốn ngày sau đó và giới hạn phạm vi ở máy đó: các gateway VPN không bị ảnh hưởng, không hồ sơ khách hàng nào bị truy cập, không tiền của khách hàng nào bị mất.

Vì sao việc này không tốn phí. Mô hình không tính phí cho việc này, đó chính là điểm cốt lõi — một nhà vận hành công bố như vậy kịp thời đang hành xử theo cách mà lĩnh vực này được định hướng để ghi nhận, và mục ghi này có mặt để người đọc biết sự việc đã xảy ra chứ không phải để thay đổi một con số.

Phạm vi của các cuộc đánh giá. Cuộc kiểm thử xâm nhập ứng dụng (iOS, Android, Electron, daemon) được thực hiện vào tháng 3 năm 2022 và cuộc đánh giá gateway/hệ điều hành máy chủ vào tháng 2 năm 2023; không cuộc nào kiểm tra chính tuyên bố không lưu nhật ký, như báo cáo năm 2023 nêu rõ, vì vậy việc lưu giữ dữ liệu chỉ dựa vào tuyên bố trong chính sách quyền riêng tư.

Báo cáo mới nhất không phải là báo cáo liên quan. Đợt kiểm toán tháng 4 năm 2024, là đợt thứ sáu của Cure53 với IVPN, đã kiểm thử trang web tài khoản khách hàng, API và dịch vụ lưu trữ; trang phạm vi của chính đợt này nêu rõ ứng dụng máy khách và máy chủ VPN nằm ngoài phạm vi, nên đợt này không mở rộng bằng chứng về ứng dụng hay cổng kết nối, và V03_audit_subject ghi nhận unknown cho đợt này thay vì tiếp tục ghi nhận điểm đó. Đợt kiểm toán thứ bảy, về các dịch vụ email và DNS mới, chỉ được thông báo là sẽ diễn ra vào tháng 5 năm 2025; chưa có báo cáo nào được công bố.

Những gì trang chính chưa bao giờ xác lập. Chỉ dùng RAM được ghi nhận là một phần vì IVPN mô tả đây là quá trình chuyển đổi với các đợt triển khai thử nghiệm đang được thực hiện, và chưa thông báo hoàn tất. Quyền sở hữu phần cứng máy chủ (thuê hay sở hữu), việc sửa đổi lưu lượng tại điểm thoát và khu vực pháp lý cá nhân của chủ sở hữu hưởng lợi đều chưa xác lập: không có trang IVPN chính nào nêu bất kỳ điều nào trong ba điều này, cũng không nêu quy mô cơ sở người dùng.

Ba trường được cơ sở kiến thức trả lời, chứ không phải các trang được đọc khi điền lần đầu. Việc phân bổ IP được chia sẻ theo thiết kế — "crowding" dồn người dùng vào cùng một địa chỉ để hạn chế khả năng quy kết. P2P được cho phép ở mọi nơi, nhưng IVPN đề nghị khách hàng tránh các điểm thoát tại Hoa Kỳ, với lý do áp lực DMCA từ nhà cung cấp thượng nguồn. Dịch vụ phát trực tuyến không có bảo đảm, dù công ty nói rằng nhiều khách hàng vẫn truy cập được dịch vụ này.

Một số trường về tính tiện dụng hoàn toàn không có tài liệu để đọc. Phân tách đường truyền, giới hạn thiết bị đồng thời, chính sách P2P và quyền truy cập nội dung phát trực tuyến không được đề cập trên bất kỳ trang RiseupVPN nào được tìm thấy trong phiên này, còn công tắc ngắt kết nối chỉ được xác nhận cho ứng dụng khách khay hệ thống trên máy tính, không phải Android.

Cuộc kiểm toán độc lập duy nhất là kiểm thử xâm nhập ứng dụng khách/hạ tầng, không phải kiểm toán nhật ký. Báo cáo SRLabs năm 2025 đã kiểm tra Bitmask và trình đăng ký cầu nối Menshen về các rủi ro chặn và DPI; báo cáo không hề xem xét các máy chủ VPN lưu giữ gì, vì vậy V11_audit_findings là not_stated và tuyên bố về lưu giữ dữ liệu trong C01 chỉ dựa vào lời của Riseup.

Vụ tịch thu năm 2012 thường được viện dẫn để chống lại Riseup không đụng đến dữ liệu của chính Riseup. Các đặc vụ liên bang Hoa Kỳ đã lấy một máy chủ từ một cơ sở đồng vị trí mà Riseup chia sẻ với May First/People Link, nhưng máy và dữ liệu trên đó thuộc về một bên thuê thứ ba (European Counter Network); không có tài khoản Riseup hay dữ liệu người dùng nào ở đó, đó là lý do P01_seizure_event ghi none_known thay vì ghi nhận một sự kiện vốn chưa bao giờ là sự kiện Riseup phải chống đỡ.