Ledger thừa nhận vào ngày 10 tháng 10 rằng các thiết bị bị ảnh hưởng trong một vụ đánh cắp tiền của người dùng có “phần cứng cấy ghép trái phép”. Ngày 11 tháng 10, công ty cho biết thêm rằng tất cả các vụ đánh cắp tiền điện tử đã được xác nhận đều liên quan đến thiết bị bán qua nhà phân phối CryptoBilis, và số thiết bị bị ảnh hưởng là “hạn chế”. Đây là vấn đề ở cấp độ chuỗi cung ứng, chứ không phải do người dùng nhấp nhầm vào liên kết lừa đảo.
Những gì đã biết: Ledger chưa tiết lộ chính xác mẫu thiết bị bị cấy ghép, cách thức hoạt động, cũng như vai trò của nó trong các vụ đánh cắp tiền điện tử. CryptoBilis từng là nhà phân phối được Ledger ủy quyền tại Malaysia, Indonesia và Philippines, nhưng hiện đã ngừng bán toàn bộ hàng tồn kho ví phần cứng — phạm vi rộng hơn yêu cầu ngày 9 tháng 10 của Ledger, vốn chỉ áp dụng với các thiết bị của hãng. Ledger nhấn mạnh rằng firmware, hệ thống, dịch vụ và kênh bán hàng trực tiếp của mình không bị xâm nhập. Về số tiền bị mất, Ledger chưa xác nhận con số nào; các đơn vị phân tích blockchain đưa ra ước tính dao động từ 72 triệu đến 92,9 triệu USD, liên quan đến 311 ví trên các mạng $BTC , $ETH , TRON và BNB Chain.
Điều thực sự đáng bàn không phải là “ví phần cứng còn đáng tin hay không”, mà là chúng ta đặt niềm tin vào đâu. Mô hình bảo mật của ví phần cứng dựa trên giả định rằng “thiết bị bạn cầm trên tay chưa bị ai can thiệp kể từ khi xuất xưởng”. Giả định này phụ thuộc vào việc quản lý hàng tồn kho và chuỗi phân phối — chính là khâu ít được chú ý nhất và dễ bị xâm phạm nhất. Có thông tin cho rằng một bo mạch nhỏ đã được lắp dưới màn hình thiết bị, khiến 24 từ khôi phục được gửi đi qua mạng di động, nhưng Ledger chưa xác nhận những chi tiết này; trước mắt hãy xem chúng là manh mối.
Một lời khuyên thực tế dành cho những ai đã mua thiết bị từ CryptoBilis: đừng khởi tạo thiết bị còn nguyên niêm phong. Nếu bạn đã thiết lập thiết bị và chuyển tiền vào đó, đừng khôi phục trên thiết bị mới bằng cùng một bộ từ khôi phục — thao tác này sẽ dựng lại cả khóa riêng lẫn tài khoản. Thay vào đó, hãy tạo bộ từ khôi phục hoàn toàn mới rồi chuyển tài sản sang. Bất kỳ “nhân viên hỗ trợ” nào yêu cầu bạn cung cấp đủ 24 từ khôi phục đều là kẻ lừa đảo.
Tôi muốn hỏi: nếu ngay cả “nhà phân phối được ủy quyền” cũng có thể gặp vấn đề, bạn còn mua ví lạnh qua bên thứ ba không, hay thà trả thêm tiền để mua trực tiếp từ hãng?
#Ledger xác nhận thiết bị người dùng bị cấy ghép phần cứng trái phép
Những gì đã biết: Ledger chưa tiết lộ chính xác mẫu thiết bị bị cấy ghép, cách thức hoạt động, cũng như vai trò của nó trong các vụ đánh cắp tiền điện tử. CryptoBilis từng là nhà phân phối được Ledger ủy quyền tại Malaysia, Indonesia và Philippines, nhưng hiện đã ngừng bán toàn bộ hàng tồn kho ví phần cứng — phạm vi rộng hơn yêu cầu ngày 9 tháng 10 của Ledger, vốn chỉ áp dụng với các thiết bị của hãng. Ledger nhấn mạnh rằng firmware, hệ thống, dịch vụ và kênh bán hàng trực tiếp của mình không bị xâm nhập. Về số tiền bị mất, Ledger chưa xác nhận con số nào; các đơn vị phân tích blockchain đưa ra ước tính dao động từ 72 triệu đến 92,9 triệu USD, liên quan đến 311 ví trên các mạng $BTC , $ETH , TRON và BNB Chain.
Điều thực sự đáng bàn không phải là “ví phần cứng còn đáng tin hay không”, mà là chúng ta đặt niềm tin vào đâu. Mô hình bảo mật của ví phần cứng dựa trên giả định rằng “thiết bị bạn cầm trên tay chưa bị ai can thiệp kể từ khi xuất xưởng”. Giả định này phụ thuộc vào việc quản lý hàng tồn kho và chuỗi phân phối — chính là khâu ít được chú ý nhất và dễ bị xâm phạm nhất. Có thông tin cho rằng một bo mạch nhỏ đã được lắp dưới màn hình thiết bị, khiến 24 từ khôi phục được gửi đi qua mạng di động, nhưng Ledger chưa xác nhận những chi tiết này; trước mắt hãy xem chúng là manh mối.
Một lời khuyên thực tế dành cho những ai đã mua thiết bị từ CryptoBilis: đừng khởi tạo thiết bị còn nguyên niêm phong. Nếu bạn đã thiết lập thiết bị và chuyển tiền vào đó, đừng khôi phục trên thiết bị mới bằng cùng một bộ từ khôi phục — thao tác này sẽ dựng lại cả khóa riêng lẫn tài khoản. Thay vào đó, hãy tạo bộ từ khôi phục hoàn toàn mới rồi chuyển tài sản sang. Bất kỳ “nhân viên hỗ trợ” nào yêu cầu bạn cung cấp đủ 24 từ khôi phục đều là kẻ lừa đảo.
Tôi muốn hỏi: nếu ngay cả “nhà phân phối được ủy quyền” cũng có thể gặp vấn đề, bạn còn mua ví lạnh qua bên thứ ba không, hay thà trả thêm tiền để mua trực tiếp từ hãng?
#Ledger xác nhận thiết bị người dùng bị cấy ghép phần cứng trái phép