Nhà sáng lập kiêm CEO OneKey Yishi Wang cho biết “mạng lưới đại lý sẽ thu hẹp đáng kể” sau khi rà soát toàn diện các đại lý đã được chứng nhận trước đây. Những đại lý có “pháp nhân hoạt động không thể xác minh hoặc người thụ hưởng cuối cùng không rõ ràng sẽ bị thu hồi ủy quyền và gỡ khỏi trang web chính thức”.

Yishi cũng cho biết OneKey đã thu hồi ủy quyền của CryptoBilis với tư cách là đại lý bán thiết bị của hãng.

Cảnh báo này được đưa ra sau khi có thông tin một ví Ledger do nhà bán lẻ Đông Nam Á CryptoBilis bán ra được cho là có chứa một thiết bị cấy ghép phần cứng trái phép. Cuộc điều tra về vụ trộm tiền mã hóa vẫn đang tiếp diễn, với thiệt hại hiện ước tính từ 86 triệu đến 93 triệu USD.

Ledger đã nói gì về vụ hack ví CryptoBilis?

Bản cập nhật ngày 10 tháng 10 trên trang hỗ trợ của Ledger xác nhận rằng trong khi chờ kết thúc điều tra, CryptoBilis sẽ không bán bất kỳ sản phẩm nào của nhà sản xuất ví phần cứng này. Tuyên bố đó được đưa ra sau khi Ledger cho biết ít nhất “thiết bị của một trong những người dùng bị ảnh hưởng có chứa một phần cứng cấy ghép trái phép”.

Ledger nhấn mạnh rằng hệ thống và các kênh bán hàng trực tiếp của mình không bị ảnh hưởng, đồng thời lưu ý rằng tất cả thiết bị bị lộ đều có nguồn gốc từ CryptoBilis.

Ledger khuyến cáo những ai mua ví từ nhà bán lẻ Đông Nam Á này không khởi tạo các thiết bị chưa thiết lập. Còn những người đã thiết lập thiết bị được khuyên chuyển tiền sang ví do Ledger phát hành trực tiếp, thay vì ví mua từ các nhà bán lẻ.

Cho đến nay, các chuyên gia phân tích bảo mật ước tính khoảng 300 ví Ledger đã bị rút tiền, với tổng thiệt hại ước tính từ 86 triệu đến 93 triệu đô la.

Vì sao người mua OneKey và SafePal đang lo lắng

Dù đến nay chỉ có ví Ledger ghi nhận các vụ mất cắp, mối lo ngại về bảo mật đã lan sang khách hàng của các nhà sản xuất ví khác. CryptoBilis tự giới thiệu là nhà bán lẻ được Ledger, Trezor, OneKey, Tangem, SafePal, imKey và các hãng ví khác ủy quyền tại Malaysia, đồng thời hoạt động ở Indonesia và Philippines.

Nhà sáng lập kiêm CEO OneKey, Yishi Wang, đã lên X trấn an người dùng, viết rằng: “Chúng tôi đã chấm dứt quyền ủy quyền của CryptoBilis; họ không còn là đại lý được OneKey ủy quyền nữa.”

Yishi cũng nêu chi tiết phản ứng gồm ba bước của OneKey nhằm giảm thiểu rủi ro hiện tại và ngăn tình hình leo thang thêm.

• Bước một: OneKey đã ngừng bổ nhiệm đại lý mới, có hiệu lực từ thông báo ngày 12 tháng 10.

• Bước hai: Tất cả đại lý hiện tại, kể cả những đại lý đã được chứng nhận trước đây, sẽ trải qua quy trình rà soát mới. Các đại lý có “pháp nhân hoạt động không thể xác minh hoặc người thụ hưởng cuối cùng không rõ ràng” sẽ bị thu hồi quyền ủy quyền. OneKey sẽ công bố danh sách đầy đủ các đại lý được ủy quyền trên trang web chính thức.

• Bước ba: Người dùng mua thiết bị OneKey từ CryptoBilis trong khoảng thời gian từ ngày 1 tháng 3 năm 2026 đến ngày 12 tháng 10 đủ điều kiện được đổi thiết bị miễn phí. Ngay cả người dùng đã kích hoạt hoặc sử dụng thiết bị vẫn có thể được đổi miễn phí.

Theo Yishi, OneKey chọn ngày 1 tháng 3 làm mốc thời gian vì đồng sáng lập ban đầu của CryptoBilis đã công khai tuyên bố công ty hoàn tất việc bàn giao công tác quản lý vận hành vào tháng 3, sau khi được mua lại vào đầu năm nay.

Lỗ hổng phần cứng duy nhất của OneKey được công khai xảy ra từ năm 2023, khi công ty bảo mật Unciphered trích xuất được cụm từ khôi phục của một thiết bị trong một cuộc tấn công tại phòng thí nghiệm. OneKey đã vá lỗ hổng, trao tiền thưởng và cho biết không có người dùng nào bị ảnh hưởng.

Ai hiện sở hữu CryptoBilis?

Hồ sơ doanh nghiệp mới nhất cho thấy quyền kiểm soát nhà bán lẻ tại Malaysia đã thay đổi trước vụ tấn công chuỗi cung ứng bị nghi ngờ. Các cựu đồng sáng lập CryptoBilis cho biết trên LinkedIn rằng họ đã bàn giao công ty cho chủ sở hữu mới vào tháng 3; một số bài đưa tin cho rằng quyền sở hữu đã chuyển sang một cá nhân được xác định là Jiaming, công dân Trung Quốc.

Hiện chưa có báo cáo nào xác nhận mối liên hệ giữa chủ sở hữu mới và sự cố bảo mật này.

Tính đến nay trong năm 2026, sáu thương hiệu ví phần cứng đã công bố sự cố bảo mật. Galaxy Research ước tính thiệt hại trong vụ Coldcard vượt quá 115 triệu đô la. Thông tin Ledger công bố vào đầu tháng 10 là vụ thứ hai khiến người dùng mất tiền.

Tuần trước, Cryptopolitan đưa tin về vụ xâm phạm BasedApp làm lộ hồ sơ KYC của khách hàng.

Nếu bạn đang đọc bài này, bạn đã đi trước một bước. Hãy tiếp tục cập nhật cùng bản tin của chúng tôi.