IVPN và Surfshark

Hồ sơ này trước đây đã được đọc hai lần — connection_timestamps trong V11 từ cách diễn đạt của kiểm toán, source_ip trong C01 từ cách diễn đạt của chính sách — và được chấm theo kết quả kém hơn trong hai kết quả đó, khiến bộ đệm 15 phút bị trừ nhiều hơn so với việc không ghi nhận gì: để trống C01 có mức trước của thị trường là 0.550 còn source_ip là 0.750.

R29 giờ đây vạch rõ ranh giới: trạng thái bị xóa trong một khoảng thời gian đã công bố gắn với thời điểm kết thúc phiên là kết nối, không phải hồ sơ về kết nối đó, nên cả hai trường đều ghi connection_timestamps trong cùng một câu. Điều vẫn được tính là những gì tồn tại sau phiên — ngày đăng nhập gần nhất trong mục 2.3.1 của chính sách và các dấu thời gian kết nối mà kiểm toán viên nêu.

Surfshark và NordVPN có cùng một công ty mẹ (Nord Security, từ năm 2022), nhưng trang about-us của Surfshark nêu rằng các thương hiệu đã sáp nhập 'trong khi hoạt động độc lập' với hạ tầng riêng — M18 được đặt là riêng biệt trên cơ sở đó, phù hợp với hồ sơ nordvpn.com.

U12a là một phần thay vì có trên chính cột P2P của bảng máy chủ: 88 trong số 100 quốc gia được liệt kê có mục này và 12 quốc gia không có (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Cột này được dựng ở phía máy khách, nên đã được đọc từ bảng đã hiển thị thay vì HTML tĩnh, nơi mọi hàng đều mang mọi nhãn.

Báo cáo minh bạch tại /transparency-report — là nơi /warrant-canary hiện chuyển hướng tới — trình bày quý tháng 4–tháng 6 năm 2026 dưới dạng bảng: 374,719 thông báo DMCA, 33 yêu cầu từ các cơ quan chính phủ, 1 lệnh khám xét, 0 thư an ninh quốc gia và 0 lệnh bí mật. P08 tính 34 yêu cầu pháp lý và loại các thông báo DMCA ra: đó là khiếu nại bản quyền về lưu lượng, không phải yêu cầu dữ liệu của người dùng.

Chính trang đó nêu rằng Surfshark đang loại bỏ tín hiệu cảnh báo lệnh khám xét để chuyển sang báo cáo theo quý, đó là lý do P07 bị loại bỏ thay vì để là không có — tín hiệu này đã tồn tại và được chủ động rút lại.

U07_protocols ghi proprietary cho Dausos dựa trên chính tuyên bố của Surfshark — trang giao thức gọi Dausos là "giao thức proprietary của Surfshark" và không công bố nguồn cho giao thức này — và giá trị duy nhất đó là yếu tố đặt C13_weakest_protocol cũng như khoản trừ về vệ sinh tiếp theo. IKEv2 được giữ lại vì Surfshark vẫn tài liệu hóa giao thức này, dù blog của chính họ ghi nhận việc loại bỏ nó khỏi ứng dụng Windows; Shadowsocks đã biến mất khỏi chỉ mục hỗ trợ và không được liệt kê.

Cuộc kiểm toán chưa được công bố. Cuộc kiểm toán Cure53 thường niên lần thứ tám được lên lịch vào tháng 7 năm 2026 và chưa có báo cáo nào cho năm 2025 hoặc 2026 được công bố, đó là lý do ngày của báo cáo mới nhất là tháng 4 năm 2024.

Sự cố tháng 8 năm 2026. Vào tháng 8 năm 2026, một kẻ tấn công đã khai thác một lỗ hổng trong BTCPay Server tự lưu trữ, trước khi lỗ hổng này được công khai, và lấy đi các khoản tiền vận hành Lightning của chính IVPN. IVPN tự nguyện công bố thông tin này bốn ngày sau đó và giới hạn phạm vi ở máy đó: các gateway VPN không bị ảnh hưởng, không hồ sơ khách hàng nào bị truy cập, không tiền của khách hàng nào bị mất.

Vì sao việc này không tốn phí. Mô hình không tính phí cho việc này, đó chính là điểm cốt lõi — một nhà vận hành công bố như vậy kịp thời đang hành xử theo cách mà lĩnh vực này được định hướng để ghi nhận, và mục ghi này có mặt để người đọc biết sự việc đã xảy ra chứ không phải để thay đổi một con số.

Phạm vi của các cuộc đánh giá. Cuộc kiểm thử xâm nhập ứng dụng (iOS, Android, Electron, daemon) được thực hiện vào tháng 3 năm 2022 và cuộc đánh giá gateway/hệ điều hành máy chủ vào tháng 2 năm 2023; không cuộc nào kiểm tra chính tuyên bố không lưu nhật ký, như báo cáo năm 2023 nêu rõ, vì vậy việc lưu giữ dữ liệu chỉ dựa vào tuyên bố trong chính sách quyền riêng tư.

Báo cáo mới nhất không phải là báo cáo liên quan. Đợt kiểm toán tháng 4 năm 2024, là đợt thứ sáu của Cure53 với IVPN, đã kiểm thử trang web tài khoản khách hàng, API và dịch vụ lưu trữ; trang phạm vi của chính đợt này nêu rõ ứng dụng máy khách và máy chủ VPN nằm ngoài phạm vi, nên đợt này không mở rộng bằng chứng về ứng dụng hay cổng kết nối, và