Ledger đã xác nhận rằng một ví phần cứng thuộc sở hữu của một trong các nạn nhân trong làn sóng trộm cắp lớn ở Đông Nam Á đã chứa một bộ cấy phần cứng trái phép.

Các nhà nghiên cứu on-chain ước tính rằng hơn 86 triệu đô la đã bị rút khỏi hàng trăm ví. Ledger cho biết mọi trường hợp được xác nhận cho đến nay đều liên quan đến các thiết bị được bán thông qua một đại lý bán lại duy nhất, CryptoBilis, và rằng hệ thống nội bộ cùng các kênh bán hàng trực tiếp của hãng không bị ảnh hưởng.

Điều gì đã xảy ra

Vào ngày 9 tháng 10, các khách hàng đã mua thiết bị Ledger thông qua CryptoBilis bắt đầu báo cáo các giao dịch trái phép. CryptoBilis là một đại lý bán lại chính thức của Ledger phục vụ Indonesia, Malaysia và Philippines. Nhà nghiên cứu on-chain tanuki42 lần đầu tiên cảnh báo hơn 72 triệu đô la đang được chuyển đến một nhóm địa chỉ bị nghi ngờ liên quan đến trộm cắp.

Một nhà nghiên cứu khác, Specter, sau đó đã lần theo các khoản tiền qua Bitcoin, Ethereum và Tron và ước tính tổn thất nghi ngờ vượt quá 86 triệu USD. MistTrack và Arkham Intelligence sau đó đưa con số này lên gần 90 triệu USD, và một số nguồn tin trích dẫn ước tính lên tới khoảng 93 triệu USD trên hơn 300 ví.

Ledger chưa xác minh bất kỳ con số tổng nào trong số này, và vẫn chưa rõ liệu mọi vụ trộm trong các ước tính có liên quan đến khách hàng của CryptoBilis hay không.

Chi phí đối với một nạn nhân

Lookonchain mô tả một trong những trường hợp đau đớn nhất. Nhà đầu tư này đã mua 80 BTC, trị giá khoảng 5,2 triệu USD, bốn tháng trước ở mức khoảng 65.000 USD và đang có khoảng 1,38 triệu USD lợi nhuận. Một tuần trước, anh ta đã mua một chiếc Ledger từ CryptoBilis và nạp toàn bộ 80 BTC vào đó. Giờ đây, theo Lookonchain, anh ta đã mất trắng.

Phản hồi của Ledger

Ledger đã hành động vào ngày 9 tháng 10 bằng cách yêu cầu CryptoBilis tạm dừng toàn bộ hoạt động bán hàng và vận chuyển trong khi họ điều tra. Họ khuyến cáo bất kỳ ai đã mua Ledger từ nhà bán lại này trong 90 ngày qua không nên bắt đầu thiết lập nếu họ chưa làm vậy.

Vào ngày 10 tháng 10, Ledger đã đưa ra một bản cập nhật nghiêm trọng hơn:

“Ledger xác nhận rằng một trong các thiết bị của người dùng bị ảnh hưởng có chứa một thiết bị cấy ghép phần cứng trái phép. Ledger đang liên hệ với những người dùng bị ảnh hưởng như một phần của cuộc điều tra đang diễn ra. Nếu bạn có thông tin liên quan đến cuộc điều tra, vui lòng liên hệ chương trình tiền thưởng của Ledger: bounty@ledger.fr.”

Trong bản cập nhật sau 72 giờ, Ledger cho biết họ đang làm việc với các cơ quan có thẩm quyền liên quan và rằng số lượng thiết bị bị ảnh hưởng là có giới hạn. Họ bổ sung:

“Tính đến nay, tất cả các trường hợp được xác nhận liên quan đến sự cố rút tiền trái phép được công bố ngày 9 tháng 10 năm 2026 đều liên quan đến các thiết bị được bán thông qua nhà bán lại CryptoBilis ở Đông Nam Á. Các hệ thống của chúng tôi và các kênh bán hàng trực tiếp vẫn không bị ảnh hưởng.”

CryptoBilis đã tạm dừng bán toàn bộ hàng tồn kho ví phần cứng của mình trong khi chờ rà soát.

Những gì các nhà nghiên cứu tìm thấy bên trong

Trước khi Ledger xác nhận, các nhà nghiên cứu đã bắt đầu kiểm tra những thiết bị bị can thiệp. Tibane Labs đã công bố một báo cáo kỹ thuật mô tả một thiết bị có vi điều khiển và phần cứng truyền thông di động, được kết nối với các đường dữ liệu nội bộ của màn hình. Theo các báo cáo an ninh, các nhà nghiên cứu gồm Joe Grand của Grand Idea Studio và nhóm Tibane Labs đã đảo ngược kỹ thuật các thiết bị bị xâm phạm và xác định ba phiên bản của thiết bị cấy ghép.

Cơ chế được báo cáo là thiết bị cấy ghép sẽ thu thập cụm từ khôi phục trong khi người dùng thiết lập thiết bị. Cụm từ khôi phục là 12 hoặc 24 từ dùng để kiểm soát ví, vì vậy bất kỳ ai có được nó đều có thể rút sạch ví từ bất cứ đâu. Điều đó sẽ giải thích vì sao các nạn nhân mất tiền mà không bao giờ chấp thuận một giao dịch nào.

Một lưu ý quan trọng: Ledger chưa xác nhận rằng thiết bị cấy ghép là nguyên nhân gây ra các vụ trộm, và cơ chế chính xác vẫn đang được điều tra. Kỹ thuật tấn công đã được các nhà nghiên cứu báo cáo chứ không phải Ledger xác nhận.

Một câu hỏi về CryptoBilis

Một tuyên bố được chia sẻ với nhà nghiên cứu Mark Karpelès và được Tibane Labs công bố cho biết CryptoBilis đã hoàn tất quá trình chuyển giao quản lý vào tháng 3 và rằng các tác giả không còn kiểm soát hệ thống hoặc cơ sở dữ liệu khách hàng của công ty nữa. Tuyên bố này không xác định ai đã can thiệp vào các thiết bị hoặc khi nào, và câu hỏi đó vẫn còn bỏ ngỏ.

Vì sao đây là một kiểu tấn công khác

Phần lớn các vụ trộm tiền mã hóa trong năm nay liên quan đến các vụ hack sàn giao dịch, khai thác lỗ hổng hợp đồng thông minh hoặc lừa đảo qua phishing. Vụ này nhắm trực tiếp vào phần cứng, trước cả khi người dùng chạm vào nó. Đây là một cuộc tấn công chuỗi cung ứng: sản phẩm bị thay đổi ở đâu đó giữa nhà máy và bàn làm việc của bạn, đó là lý do nó có thể đánh bại ngay cả những người dùng cẩn thận làm mọi thứ đúng ở phía mình.

Nó cũng nhắm vào danh mục tự quản lý được tin cậy nhất. Ví phần cứng được quảng bá là cách an toàn nhất để lưu giữ crypto vì khóa riêng tư vẫn ngoại tuyến. Một thiết bị bị can thiệp sẽ phá vỡ lời hứa đó nếu nó được mua từ nguồn không được xác minh hoặc đã bị thay đổi.

Người dùng Ledger nên làm gì

Theo hướng dẫn của Ledger và thực hành bảo mật tiêu chuẩn:

– Nếu bạn đã mua từ CryptoBilis trong 90 ngày qua và chưa thiết lập thiết bị: đừng bật hoặc khởi tạo nó. – Nếu bạn đã sử dụng một thiết bị mua từ CryptoBilis: hãy thay cả thiết bị lẫn cụm từ khôi phục, và chuyển tiền của bạn sang một ví mới được tạo trên thiết bị đáng tin cậy. – Với những người còn lại: hãy mua ví phần cứng trực tiếp từ nhà sản xuất hoặc qua kênh được xác minh chính thức, không bao giờ dùng thiết bị được giao đến ở trạng thái đã khởi tạo sẵn hoặc có cụm từ khôi phục đã được viết sẵn, và hãy đảm bảo tem niêm phong của bao bì còn nguyên vẹn. – Nếu bạn có thông tin về vụ việc: Ledger yêu cầu bạn liên hệ chương trình tiền thưởng của họ tại bounty@ledger.fr.

Điều gì sẽ xảy ra tiếp theo

Cuộc điều tra vẫn đang tiếp diễn và Ledger cho biết họ đang làm việc với cơ quan thực thi pháp luật. Vẫn còn những câu hỏi then chốt: có bao nhiêu thiết bị đã bị can thiệp, thiết bị cấy ghép được thêm vào ở đâu trong chuỗi cung ứng, và liệu tổng thiệt hại cuối cùng có khớp hoặc vượt quá mức ước tính hiện tại từ 86 triệu đến 93 triệu USD hay không. Hãy chờ đợi các phát hiện kỹ thuật tiếp theo từ Tibane Labs và các nhà nghiên cứu khác, một báo cáo pháp y có thể từ Ledger, và sự giám sát chặt chẽ hơn về cách các nhà sản xuất ví phần cứng thẩm định và theo dõi các đại lý bán lại của họ.