Ledger đã đình chỉ hoạt động bán hàng của nhà bán lẻ CryptoBilis tại Đông Nam Á sau khi các ví thuộc về khách hàng mua thiết bị qua kênh này bị rút mất số tài sản ước tính trị giá từ 72 triệu đến gần 90 triệu USD.

Nhà sản xuất ví phần cứng cho biết họ đang điều tra các khoản thất thoát và đã yêu cầu CryptoBilis tạm dừng mọi hoạt động bán và giao thiết bị Ledger cho đến khi có kết quả điều tra. Ledger khuyến cáo người dùng đã mua hàng từ nhà bán lẻ này trong 90 ngày qua không thiết lập các thiết bị chưa sử dụng, đồng thời chuyển tài sản sang một thiết bị Ledger mới với cụm từ khôi phục mới nếu thiết bị của họ đang được sử dụng. Công ty cho biết sẽ tiếp tục cập nhật thông tin cho khách hàng khi cuộc điều tra tiến triển.

Các ước tính về thiệt hại dựa trên dữ liệu trên chuỗi có sự chênh lệch. Nhà phân tích Specter đã truy vết mười địa chỉ nhận tiền và thống kê dòng tiền từ hàng trăm ví của nạn nhân trên Ethereum, TRON và Bitcoin, đưa tổng thiệt hại lên hơn 86 triệu USD, trong khi con số này vẫn tiếp tục tăng. Nhà phân tích tanuki42 ước tính thiệt hại vượt 72 triệu USD, còn MistTrack đưa ra con số gần 90 triệu USD. Ledger xác nhận chưa có con số thiệt hại cụ thể bằng USD.

CryptoBilis tự nhận là nhà bán lẻ được ủy quyền các sản phẩm Ledger tại Malaysia và bán thiết bị ở Indonesia, Malaysia và Philippines. Công ty chưa phản hồi yêu cầu bình luận.

Cơ chế bị nghi ngờ là can thiệp vào chuỗi cung ứng, chứ không phải lỗ hổng trong phần mềm của Ledger. Nhà sáng lập Binance Changpeng Zhao cho biết thông tin hiện có cho thấy đây là một cuộc tấn công chuỗi cung ứng tại một nhà cung cấp duy nhất, và có khả năng một số ít người đã mua phải thiết bị giả hoặc bị can thiệp. Về phần mình, nhà nghiên cứu bảo mật Taylor Monahan khẳng định không có lỗ hổng zero-day trong các sản phẩm của Ledger, đồng thời cảnh báo rằng việc vội vàng di chuyển tiền khiến người dùng đối mặt với rủi ro lừa đảo qua mạng còn lớn hơn cả chính vụ việc này.

Một phần số tiền bị đánh cắp đã được chuyển đi. Dữ liệu truy vết trên chuỗi cho thấy kẻ tấn công bị nghi ngờ đã rửa khoảng 430 ETH, trị giá ước tính 1,07 triệu USD, thông qua dịch vụ trộn tiền Tornado Cash; các ví được Arkham theo dõi và có liên quan đến những vụ trộm vẫn còn nắm giữ khoảng 70,6 triệu USD. Tether đã đóng băng USDT tại các địa chỉ liên quan đến những vụ trộm. Sau đó, kẻ tấn công bắt đầu đổi USDT sang USDD, một stablecoin dựa trên Tron mà Tether không thể đóng băng.

Ledger từ chối bình luận thêm. Cuộc điều tra của công ty vẫn đang diễn ra.