Từ ngày bước chân vào giới crypto đến nay, tôi chưa từng thấy cách đánh cắp tiền mã hóa nào quỷ quyệt hơn thế này. Hacker thậm chí chẳng cần viết mã: bên trong ví phần cứng vốn đã được hàn sẵn một thẻ eSIM.
Nỗi đau xót của người dùng thật: Tháng 6, mua đáy ở mức 65.000 USD, gom 80 BTC; một tuần trước chuyển vào Ledger, hôm nay bán sạch, tài khoản về 0. Trên sổ sách đang lãi 1,38 triệu USD, giờ mất trắng cả vốn lẫn lời.
Trong 24 giờ qua, số tiền thất thoát liên quan mà MistTrack truy vết được đã lên tới gần 90 triệu USD. Tether bắt đầu đóng băng USDT tại các địa chỉ liên quan. Mark Karpelès, cựu CEO của Mt. Gox, đích thân tháo một chiếc Ledger mua ở Malaysia và phát hiện tại vị trí miếng đệm màn hình có hàn một thiết bị phần cứng gián điệp, gồm kết nối LTE, ăng-ten, eSIM và vi điều khiển. Tem còn nguyên bản, màng co nhiệt vẫn nguyên vẹn; nếu không tháo ra thì hoàn toàn không thể nhận thấy điều bất thường.
/
❚ Nguyên lý đánh cắp tiền mã hóa đơn giản hơn bạn nghĩ
Ví cứng an toàn nhờ hai chữ cốt lõi: cách ly
Khóa riêng nằm trong chip, không rời khỏi thiết bị
Chữ ký được tạo ngay bên trong thiết bị; chỉ máy chủ mới kết nối mạng, chứ bản thân ví thì không
Cuộc tấn công lần này đã trực tiếp phá vỡ giả định đó. Một vi điều khiển cấy ghép được nối vào bus SPI của Ledger, có thể đọc các ký tự mà màn hình sắp hiển thị cho bạn. Những trang khởi tạo cụm từ khôi phục vừa khéo hiển thị lần lượt từng từ trong 24 từ. Mô-đun gửi các ký tự này ra ngoài qua LTE. Khi kẻ tấn công đã có cụm từ khôi phục, những chuyện còn lại chẳng liên quan gì đến độ mạnh của mật khẩu hay thói quen sử dụng của bạn nữa; chúng chỉ cần chờ thời cơ thích hợp rồi quét sạch tài sản chỉ bằng một cú bấm.
Nói dễ hiểu là, bạn tưởng mình đang làm việc với một chiếc két sắt biệt lập. Nhưng bên dưới két sắt lại giấu một chiếc điện thoại; bên ngoài vẫn im lìm, nhưng bất cứ thứ gì hiện trên màn hình nó đều nhìn thấy.
❚ Lịch sử bảo mật của Ledger
Những ai tham gia thị trường lâu năm hẳn không lạ gì chuyện Ledger gặp sự cố. Cùng nhìn lại dòng thời gian nhé ⬇️
1/ Năm 2018: Lỗ hổng được phát hiện trong nghiên cứu phần cứng giai đoạn đầu
Nhà nghiên cứu trình diễn rằng Nano S có thể bị can thiệp trước khi xuất xưởng, bỏ qua được bootloader của MCU
Phần lớn là vấn đề ở mức nghiên cứu, chủ yếu được hãng khắc phục; hiếm khi gây thiệt hại thực tế
2/ Năm 2020: Rò rỉ dữ liệu quy mô lớn từ cơ sở dữ liệu thương mại điện tử
Hơn 1 triệu địa chỉ email cùng tên, số điện thoại và địa chỉ của hơn 270.000 khách hàng bị công khai
Phần cứng và khóa riêng không sao, nhưng sự cố này đã châm ngòi cho những email lừa đảo và thư giả mạo thông báo chính thức kéo dài dai dẳng suốt nhiều năm sau đó
3/ Tháng 12 năm 2023: Tấn công chuỗi cung ứng Connect Kit
Một cựu nhân viên bị lừa phishing, tài khoản npm bị chiếm quyền, phiên bản độc hại được chèn vào mọi DApp phụ thuộc thư viện đó
Bị đánh cắp 480.000–600.000 USD chỉ trong hai tiếng
Phần cứng không có vấn đề, nhưng đây là lần đầu mọi người nhận ra các thư viện phụ thuộc ở frontend cũng là cửa ngõ rủi ro
4/ Tháng 1 năm 2026: Dữ liệu đơn hàng của bên thứ ba Global-e lại bị rò rỉ
Vấn đề cũ, tiếp tục nuôi dưỡng hệ sinh thái lừa đảo phishing
5/ Tháng 4 năm 2026: Lừa đảo bằng ứng dụng Ledger Live giả trên App Store
Dụ người dùng nhập cụm từ khôi phục gồm 24 từ; hơn 50 người bị đánh cắp tổng cộng 9,5 triệu USD chỉ trong một tuần
Trước vụ lần này, đây là vụ có thiệt hại đơn lẻ lớn nhất
6/ Tháng 8 năm 2026: Lỗ hổng chữ ký Ethereum LSB-023
Có thể vượt qua Clear-signing, nhưng cần máy chủ độc hại phối hợp; chưa có bằng chứng bị khai thác trên thực tế
7/ Ngày 9 tháng 10 năm 2026: Tấn công chuỗi cung ứng CryptoBillis
Theo dõi cho thấy thiệt hại gần 90 triệu USD, gần gấp 10 lần kỷ lục trước đó
Có một quy luật rất rõ: tất cả sự cố trước đây либо chỉ làm lộ siêu dữ liệu, hoặc đòi hỏi người dùng tự làm điều dại dột (cài ứng dụng giả, nhập cụm từ khôi phục). Nhưng lần này, cụm từ khôi phục chưa từng rời khỏi tay bạn, thiết bị chưa từng kết nối mạng, mọi thứ trong quy trình đều bình thường. Vậy mà tiền vẫn mất.
❚ Vì sao lại đúng vào Đông Nam Á
CryptoBillis là đại lý ủy quyền của Ledger tại Đông Nam Á. So với đặt hàng trên trang web chính thức, mua qua đại lý rẻ hơn một chút, giao hàng nhanh hơn và không cần vận chuyển quốc tế. Trong cộng đồng crypto Đông Nam Á, đây là cách mua rất phổ biến; quanh mình ở Bangkok cũng có không ít bạn bè mua theo kênh này.
Điểm đáng sợ của các cuộc tấn công chuỗi cung ứng là
Không cần xâm nhập vào chính Ledger
Không cần người dùng mắc lỗi
Chỉ cần cài cắm vào bất kỳ mắt xích đại lý nào là có thể giở trò trên diện rộng
Ledger đã yêu cầu CryptoBillis tạm ngừng bán và giao hàng, đồng thời khuyến nghị người dùng mua thiết bị qua kênh này trong vòng 90 ngày qua nhanh chóng chuyển tài sản sang nơi khác. Nhưng rốt cuộc có bao nhiêu thiết bị đã bị tuồn ra ngoài, và có phải chỉ đại lý này bị dính đòn hay không, ngay cả hãng cũng chưa thể xác nhận.
❚ Khuyến nghị thực tế
Nói xong nguyên lý rồi, giờ chia sẻ vài điều có thể áp dụng
1/ Chỉ mua ví cứng trực tiếp từ trang web chính thức, đừng mua qua bất kỳ bên thứ ba nào
Bao gồm liên kết giới thiệu của các KOL lớn, đại lý, Taobao, Xianyu và nhờ bạn bè mua hộ
Tiết kiệm chút tiền đó thà đốt luôn cái thiết bị cho rồi
2/ Nhận thiết bị rồi thì đừng dùng bất kỳ thẻ ghi cụm từ khôi phục nào đi kèm; hãy khởi tạo lại từ đầu
Làm theo đúng quy trình Genuine Check trên trang web chính thức của Ledger để xác minh
Khi cần, gửi thiết bị về hãng để kiểm tra vật lý
3/ Chia nhỏ tài sản lớn sang nhiều nơi
Đừng dồn toàn bộ gia sản vào một chiếc ví
Dùng ví đa chữ ký hoặc chia tài sản ra nhiều địa chỉ để tăng cái giá phải trả nếu một điểm gặp sự cố
4/ Định kỳ chuyển sang ví mới
Hôm nay không sao cũng không có nghĩa là ba năm nữa vẫn ổn
Tương đương với việc đổi ổ khóa cho tài khoản
5/ Theo dõi sát các cảnh báo theo thời gian thực từ MistTrack, SlowMist và những tổ chức tương tự
Có độ trễ giữa lúc sự cố xảy ra và lúc bị phát hiện. Đổi ví sớm hơn có thể cứu được bạn
/
Tóm lại trong một câu: Điều đáng sợ nhất lần này không phải là con số thiệt hại, mà là nó đã viết lại giả định mặc định về «độ an toàn của ví cứng»
Trước đây, chúng ta nghĩ chỉ cần không tự chuốc họa thì tiền sẽ an toàn. Giờ phải thêm một điều nữa: chính món đồ bạn mua có thể không phải là thứ bạn tưởng.
Nói thật, viết xong bài này chính mình cũng muốn cất Ledger đi, đổi sang hãng khác. Thị trường vốn đã như đống rác, giờ lại bị chuyện này dọa cho một phen.
(Thông tin trong bài viết này được tổng hợp từ MistTrack, các tiết lộ công khai của Mark Karpelès và những thông báo trước đây của Ledger; không bao gồm bất kỳ lời khuyên nào, vui lòng tự xác minh)