Ledger tiết lộ cách chip ẩn đánh cắp cụm từ khôi phục trong vụ tấn công trị giá 93 triệu USD

Ledger tiết lộ rằng một con chip bí mật được cài trong ví phần cứng do đại lý bán lại CryptoBilis phân phối đã chụp lại cụm từ khôi phục gồm 24 từ trên màn hình và truyền chúng qua mạng di động đến kẻ tấn công. Các nhà nghiên cứu ước tính số tiền bị đánh cắp trong vụ việc này là từ 84,2 triệu đến 93,2 triệu USD.
Hôm thứ Ba, công ty Pháp lần đầu tiên tiết lộ chi tiết về phương thức tấn công trong bản cập nhật bài đăng trên blog X do đội ngũ bảo mật Ledger Donjon thực hiện. Đây có lẽ là lời giải thích chi tiết nhất về cách chủ sở hữu các thiết bị bị xâm nhập mất quyền truy cập vào tiền mã hóa mà không hề đụng đến phần mềm của Ledger.
Cách con chip cấy ghép lấy khóa từ màn hình
Theo Ledger, con chip bổ sung được đặt bên trong vỏ thiết bị. Khi thiết lập ví, lúc người dùng hiển thị 24 từ dùng để sao lưu tài khoản, vi điều khiển của con chip cấy ghép sẽ đọc các từ này và chuyển chúng thành dữ liệu, sau đó truyền qua LTE bằng thẻ SIM tích hợp.
Mã khôi phục như vậy về cơ bản chính là một tài khoản. Nhờ mã này, bạn có thể khôi phục ví trên một thiết bị phần cứng khác mà không cần sử dụng thiết bị bị xâm phạm hay thực hiện bất kỳ giao dịch nào.
Cập nhật về các thiết bị Ledger tại MediaMarkt Saturn 🔽
Tính đến ngày 13 tháng 10, MediaMarkt Saturn đã ngừng bán các thiết bị Ledger tại cửa hàng và trên mạng, với sự phối hợp của Ledger, trong khi cuộc điều tra tiếp diễn. Động thái này được đưa ra sau khi một khách hàng ở Đức báo cáo phát hiện con chip cấy ghép. Chưa có tổn thất tài sản nào được báo cáo.
Chúng tôi không có dấu hiệu nào cho thấy cơ sở hạ tầng, hệ thống hoặc dịch vụ của Ledger bị xâm phạm. Bộ phận Hỗ trợ Ledger đang xem xét các báo cáo của người dùng, còn các chuyên gia an ninh mạng của Ledger, nhóm Donjon, sẽ kiểm tra những thiết bị chúng tôi nhận được: https://t.co/QzukOZdEzq.
Nếu có thắc mắc về thiết bị đã mua, hãy liên hệ Bộ phận Hỗ trợ Ledger tại https://t.co/QzukOZdEzq. Ledger sẽ không bao giờ gọi điện, nhắn tin trực tiếp hay yêu cầu bạn cung cấp cụm từ khôi phục gồm 24 từ.
Nhiều tuyên bố và số liệu đang lan truyền trên mạng chưa được xác minh. Những kẻ lừa đảo thường tìm cách lợi dụng các sự cố như thế này. Hãy chỉ theo dõi các kênh chính thức của Ledger và MediaMarkt Saturn để cập nhật thông tin. Chúng tôi sẽ chia sẻ thêm khi cuộc điều tra tiếp diễn.
— Ledger (@Ledger) ngày 13 tháng 10, 2026
Theo các báo cáo, những thiết bị bị cài mã độc là mẫu Ledger Nano X. Mark Karpelès, cựu CEO của Mt. Gox và hiện làm việc tại Karpeles Lab, đã chia sẻ hình ảnh con chip cấy ghép được giấu phía sau màn hình và lưu ý rằng manh mối nằm ở cáp ăng-ten của màn hình. Phòng thí nghiệm nghiên cứu Tibane Labs xác nhận phát hiện này và cho biết họ tìm thấy hai phiên bản của con chip cấy ghép, trong đó có một phiên bản sử dụng vi điều khiển ST STM32G431KBU6, eSIM kích thước 2×2 mm và mô-đun LTE.
Tấn công chuỗi cung ứng, không phải xâm nhập phần mềm
Tuy nhiên, Ledger đã nêu rõ những gì không bị ảnh hưởng bởi cuộc tấn công. Con chip cấy ghép không làm tổn hại Secure Element, con chip đảm bảo an toàn cho khóa riêng tư. Nó không ảnh hưởng đến hệ điều hành và cũng không tác động đến các giao dịch hay chữ ký, theo bài đăng của công ty trên X.
Công ty mô tả sự cố này là một cuộc tấn công vật lý vào chuỗi cung ứng, chứ không phải vụ xâm nhập phần mềm hay các quy trình nội bộ. Ledger cho biết họ đã xuất xưởng hơn 8 triệu thiết bị và chỉ ra rằng hệ thống “Genuine Check” không thể phát hiện chip cấy ghép nếu Secure Element nguyên bản vẫn còn nguyên vẹn.
Ước tính thiệt hại từ vụ trộm liên quan đến Ledger vượt 86 triệu USD khi Tether phong tỏa 10 triệu USD
Ledger chưa công bố dữ liệu về số nạn nhân hay giá trị tài sản liên quan. Tuy nhiên, các công ty nghiên cứu dữ liệu trên chuỗi đã tiến hành phân tích và đưa ra các con số của mình. Theo các báo cáo, khoảng 93,2 triệu USD tổn thất nằm rải rác trong hơn 300 ví. Nhà điều tra Specter ước tính tổn thất vượt 86 triệu USD, còn Yfarmx nâng con số lên 103 triệu USD. Tether đang đóng băng lượng stablecoin USDT trị giá 10 triệu USD có liên quan đến vụ trộm.
Vụ việc được phát hiện vào ngày 9 tháng 10, khi Ledger bắt đầu điều tra cáo buộc tiền bị rút khỏi ví và yêu cầu CryptoBilis ngừng bán các thiết bị ký. Ngày 10 tháng 10, Ledger tiết lộ rằng thiết bị của một người dùng bị xâm phạm có chứa một con chip cấy ghép trái phép. Cho đến nay, tất cả các tổn thất được xác nhận đều liên quan đến thiết bị do CryptoBilis bán, một đại lý bán lẻ được ủy quyền tại Indonesia, Malaysia và Philippines.
Các đối thủ cắt đứt quan hệ với CryptoBilis
Theo các báo cáo, CryptoBilis đã ngừng toàn bộ hoạt động bán và giao hàng ví phần cứng của nhiều thương hiệu tại ba quốc gia, đồng thời đóng cửa các cửa hàng truyền thống. Đây là động thái mở rộng từ quyết định trước đó chỉ liên quan đến thương hiệu Ledger. Công ty bán lẻ cho biết họ đang xem xét tình hình với sự hỗ trợ của các chuyên gia bên ngoài.
Trezor cho biết họ không tìm thấy bằng chứng nào cho thấy các thiết bị của mình được CryptoBilis bán lại đã bị can thiệp, nhưng vẫn quyết định xóa nhà bán lẻ này khỏi danh sách nhà phân phối được ủy quyền. Công ty OneKey cho biết chưa có tổn thất nào được báo cáo liên quan đến vụ việc này và cũng đã xóa CryptoBilis khỏi danh sách đại lý bán lẻ được ủy quyền; ngoài ra, công ty đề nghị đổi miễn phí các thiết bị OneKey được mua qua CryptoBilis trong khoảng thời gian từ ngày 1 tháng 3 đến ngày 12 tháng 10 năm 2026.
Các báo cáo ngoài vụ việc tại nhà bán lẻ
“Ledger cho biết họ đang điều tra các báo cáo về chip cấy ghép trong những thiết bị không được bán bởi CryptoBilis, nhưng chưa xác nhận có vụ trộm nào xảy ra trên thiết bị mua tại một cửa hàng khác,” Cointelegraph đưa tin. Ngoài ra, theo Cointelegraph, một người dùng X tên Johannes đã tải lên hình ảnh của hai thiết bị Ledger mà anh này cho biết đã mua riêng tại các cửa hàng MediaMarkt ở châu Âu; cả hai đều bị cấy chip.
Ledger vẫn chưa xác nhận bất kỳ mối liên hệ nào giữa các báo cáo ở châu Âu và vụ CryptoBilis. Theo Ledger, lời khuyên dành cho người dùng sản phẩm CryptoBilis rất rõ ràng: đừng khởi tạo thiết bị ký mua từ CryptoBilis; nếu đã khởi tạo, hãy chuyển tiền sang một thiết bị khác bằng cụm từ khôi phục mới.
Những bộ óc xuất sắc nhất trong lĩnh vực tiền mã hóa đã đọc bản tin của chúng tôi. Bạn muốn tham gia chứ? Hãy đăng ký cùng họ.