Ledger xác nhận ví bị cài phần cứng trái phép! Ngay cả ví lạnh cũng không thể hoàn toàn tin tưởng?
Điểm hấp dẫn lớn nhất của ví lạnh là giúp khóa riêng tư không kết nối với mạng.
Nhưng nếu thiết bị bạn mua đã bị can thiệp trước khi đến tay bạn thì sao?
Ngày 10 tháng 10, Ledger xác nhận phát hiện phần cứng trái phép bên trong thiết bị của một người dùng bị ảnh hưởng. Vụ việc có liên quan đến nhà phân phối CryptoBilis ở Đông Nam Á.
Hiện vẫn chưa có bằng chứng xác nhận thiết bị cài thêm này đã gây thất thoát tài sản như thế nào, và Ledger cũng cho biết hệ thống của họ không bị xâm nhập.
Theo tôi, điều đáng cảnh giác nhất trong vụ việc này không phải là công nghệ ví lạnh đột nhiên mất tác dụng, mà là rủi ro bảo mật có thể chuyển từ chip và phần mềm sang chuỗi cung ứng, nhà phân phối và quy trình mua hàng của người dùng.
Nói cách khác, ví lạnh không có nghĩa là “mua về là an toàn”. Thay vào đó, rủi ro được chuyển từ các cuộc tấn công trực tuyến sang nhiều khâu như tính xác thực của thiết bị, vận chuyển, quản lý nhà phân phối, quy trình khởi tạo và bảo quản cụm từ khôi phục.
Chỉ cần một khâu gặp vấn đề cũng có thể làm suy giảm tính bảo mật tổng thể.
Tài liệu kỹ thuật chính thức của Ledger cũng chỉ ra rằng việc xác minh thiết bị chính hãng không thể đảm bảo phát hiện mọi phần cứng được lắp thêm.
Điều này có nghĩa là “thiết bị vượt qua bước xác minh” không đồng nghĩa với việc “toàn bộ thiết bị chưa từng bị can thiệp”. Người dùng không thể chỉ dựa vào một cơ chế bảo mật duy nhất.
Đối với người nắm giữ tiền mã hóa, mua đúng thiết bị mới chỉ là bước đầu tiên. Ngoài việc ưu tiên mua từ kênh chính thức hoặc đáng tin cậy, bạn cũng nên tránh mua thiết bị không rõ nguồn gốc, đã bị bóc niêm phong hoặc có giá bất thường.
Sau khi nhận thiết bị, hãy kiểm tra tình trạng bao bì và thiết bị, rồi khởi tạo theo quy trình chính thức. Cụm từ khôi phục phải được tự tạo trên thiết bị. Tuyệt đối không sử dụng cụm từ khôi phục do người bán cung cấp và không nhập cụm từ này vào điện thoại, máy tính hay bất kỳ trang web nào.
Quan trọng hơn, việc bảo vệ tài sản không nên dựa trên suy nghĩ “tôi tin thương hiệu này”, mà cần dựa trên các quy trình có thể kiểm chứng và niềm tin được phân tán. Danh tiếng thương hiệu có thể giúp giảm rủi ro, nhưng không thể thay thế việc người dùng tự kiểm tra cơ bản về nguồn gốc, thiết bị và quy trình thao tác.
Bảo mật thực sự không nên chỉ bắt đầu khi bạn bật thiết bị, mà phải bắt đầu ngay từ lúc bạn quyết định mua hàng từ ai.
#Ledger确认用户设备遭植入未授权硬件 $BNB
Điểm hấp dẫn lớn nhất của ví lạnh là giúp khóa riêng tư không kết nối với mạng.
Nhưng nếu thiết bị bạn mua đã bị can thiệp trước khi đến tay bạn thì sao?
Ngày 10 tháng 10, Ledger xác nhận phát hiện phần cứng trái phép bên trong thiết bị của một người dùng bị ảnh hưởng. Vụ việc có liên quan đến nhà phân phối CryptoBilis ở Đông Nam Á.
Hiện vẫn chưa có bằng chứng xác nhận thiết bị cài thêm này đã gây thất thoát tài sản như thế nào, và Ledger cũng cho biết hệ thống của họ không bị xâm nhập.
Theo tôi, điều đáng cảnh giác nhất trong vụ việc này không phải là công nghệ ví lạnh đột nhiên mất tác dụng, mà là rủi ro bảo mật có thể chuyển từ chip và phần mềm sang chuỗi cung ứng, nhà phân phối và quy trình mua hàng của người dùng.
Nói cách khác, ví lạnh không có nghĩa là “mua về là an toàn”. Thay vào đó, rủi ro được chuyển từ các cuộc tấn công trực tuyến sang nhiều khâu như tính xác thực của thiết bị, vận chuyển, quản lý nhà phân phối, quy trình khởi tạo và bảo quản cụm từ khôi phục.
Chỉ cần một khâu gặp vấn đề cũng có thể làm suy giảm tính bảo mật tổng thể.
Tài liệu kỹ thuật chính thức của Ledger cũng chỉ ra rằng việc xác minh thiết bị chính hãng không thể đảm bảo phát hiện mọi phần cứng được lắp thêm.
Điều này có nghĩa là “thiết bị vượt qua bước xác minh” không đồng nghĩa với việc “toàn bộ thiết bị chưa từng bị can thiệp”. Người dùng không thể chỉ dựa vào một cơ chế bảo mật duy nhất.
Đối với người nắm giữ tiền mã hóa, mua đúng thiết bị mới chỉ là bước đầu tiên. Ngoài việc ưu tiên mua từ kênh chính thức hoặc đáng tin cậy, bạn cũng nên tránh mua thiết bị không rõ nguồn gốc, đã bị bóc niêm phong hoặc có giá bất thường.
Sau khi nhận thiết bị, hãy kiểm tra tình trạng bao bì và thiết bị, rồi khởi tạo theo quy trình chính thức. Cụm từ khôi phục phải được tự tạo trên thiết bị. Tuyệt đối không sử dụng cụm từ khôi phục do người bán cung cấp và không nhập cụm từ này vào điện thoại, máy tính hay bất kỳ trang web nào.
Quan trọng hơn, việc bảo vệ tài sản không nên dựa trên suy nghĩ “tôi tin thương hiệu này”, mà cần dựa trên các quy trình có thể kiểm chứng và niềm tin được phân tán. Danh tiếng thương hiệu có thể giúp giảm rủi ro, nhưng không thể thay thế việc người dùng tự kiểm tra cơ bản về nguồn gốc, thiết bị và quy trình thao tác.
Bảo mật thực sự không nên chỉ bắt đầu khi bạn bật thiết bị, mà phải bắt đầu ngay từ lúc bạn quyết định mua hàng từ ai.
#Ledger确认用户设备遭植入未授权硬件 $BNB