Nhà sản xuất ví phần cứng Trezor cho biết họ đang thu hẹp mạng lưới bán lẻ và đại lý bán lại sau những thông tin về việc can thiệp vào chuỗi cung ứng liên quan đến một đối thủ cạnh tranh. Công ty đã giảm số lượng đại lý bán lại được ủy quyền “như một biện pháp phòng ngừa”, đồng thời nhấn mạnh rằng không có bằng chứng cho thấy thiết bị của chính họ bị xâm phạm.

Thông tin cập nhật được đưa ra sau làn sóng lo ngại mới về tính toàn vẹn của ví phần cứng được phân phối qua bên thứ ba. Ledger xác nhận rằng ít nhất một thiết bị của hãng, được mua qua một đại lý bán lại ở Đông Nam Á, có chứa một thiết bị cấy ghép phần cứng trái phép có khả năng làm lộ cụm từ khôi phục. Phản ứng của Trezor cho thấy rủi ro về danh tiếng và bảo mật có thể nhanh chóng lan rộng trong lĩnh vực ví phần cứng khi tính toàn vẹn của chuỗi cung ứng bị đặt nghi vấn.

Những điểm chính

• Trezor cho biết chưa thấy bằng chứng nào cho thấy thiết bị của mình bị xâm phạm, nhưng dù vậy vẫn đang giảm số lượng đại lý được ủy quyền.

• Ledger xác nhận phát hiện thiết bị cấy ghép trái phép trong các sản phẩm có liên hệ với một đại lý bán lẻ ở Đông Nam Á, đồng thời cảnh báo mức độ ảnh hưởng đến người dùng có thể rất lớn.

• Các thông tin về vụ việc liên quan đến Ledger cho thấy kẻ tấn công có thể đã thu thập các cụm từ khôi phục và truyền chúng qua mạng di động.

• Trezor khuyên người dùng mua trực tiếp từ công ty, xác minh niêm phong còn nguyên vẹn và cân nhắc thiết lập đa chữ ký để tăng cường bảo vệ.

Trezor siết chặt mạng lưới đại lý bán lẻ giữa những cảnh báo về chuỗi cung ứng

Trezor thông báo sẽ “giảm số lượng đại lý bán lẻ” sau các báo cáo về việc phát hiện thiết bị cấy ghép độc hại trong các thiết bị do Ledger sản xuất. Trong bài đăng hôm thứ Ba trên X, Trezor cho biết “không có dù chỉ một bằng chứng” cho thấy thiết bị của họ bị xâm phạm, đồng thời đề cập đến các báo cáo rộng hơn về việc người dùng ví phần cứng phát hiện những linh kiện độc hại đe dọa tính bảo mật của cụm từ khôi phục.

Dù Trezor chưa khẳng định họ bị ảnh hưởng, phản ứng thương mại của công ty cho thấy một thực tế thiết thực đối với người mua: ngay cả những mối đe dọa chưa được xác nhận cũng có thể khiến việc thận trọng trong vận hành trở nên cần thiết. Giám đốc thương mại Trezor Danny Sanders cho biết ông đã thông báo với một số đại lý bán lẻ rằng họ sẽ bị đưa khỏi danh sách đại lý được ủy quyền của công ty kể từ ngày 1 tháng 1. Ông cũng cho biết Trezor sẽ ngừng giao thiết bị cho các đại lý này từ thứ Ba.

Trong bối cảnh việc can thiệp chuỗi cung ứng có thể xảy ra trước khi thiết bị đến tay người dùng cuối, việc điều chỉnh lại mạng lưới như vậy nhằm giảm mức độ phơi nhiễm rủi ro—đặc biệt đối với khách hàng mua qua trung gian thay vì qua các kênh trực tiếp.

Vụ cấy ghép phần cứng độc hại của Ledger làm tăng mức độ quan trọng của việc bảo vệ cụm từ khôi phục

Đầu tuần này, Ledger xác nhận ít nhất một thiết bị của hãng—được một đại lý bán lẻ ở Đông Nam Á mua—có chứa thiết bị cấy ghép phần cứng trái phép. Theo các thông tin đưa tin, những chiếc ví này do CryptoBilis bán. Trong sự cố được mô tả, phần cứng cấy ghép có thể thu thập cụm từ khôi phục và truyền chúng qua mạng di động, tạo nguy cơ kẻ tấn công chiếm quyền kiểm soát hoàn toàn ví của những người dùng bị ảnh hưởng.

Tuyên bố của Trezor trực tiếp đề cập đến phương thức kỹ thuật được mô tả trong vụ việc liên quan đến Ledger, nhấn mạnh rằng cơ chế khác nhau giữa các sự cố. Người phát ngôn của Trezor nói với Cointelegraph rằng các bước kiểm tra thiết lập hiện có của Trezor được thiết kế để phát hiện thiết bị giả và phần sụn bị sửa đổi.

Người phát ngôn nói thêm rằng thiết bị cấy ghép được tìm thấy trong sản phẩm mua từ CryptoBilis hoạt động khác với một dạng sửa đổi phần sụn thông thường. Thay vào đó, nó “đọc thông tin trên màn hình rồi gửi thông tin đó cho kẻ tấn công”; Trezor mô tả đây là một phương thức can thiệp độc đáo, không sửa đổi phần sụn. Người phát ngôn cũng cho biết Trezor chưa ghi nhận kiểu tấn công cụ thể này trên thiết bị Trezor ngoài thực tế.

Người dùng cần thay đổi gì: mua ở đâu và nên phân bổ tiền như thế nào

Ngoài việc hạn chế mạng lưới đại lý bán lẻ, Trezor còn đưa ra hướng dẫn nhằm hạn chế thiệt hại nếu thiết bị bị can thiệp trước khi đến tay người mua. Người phát ngôn khuyên người dùng mua sản phẩm Trezor trực tiếp từ công ty và kiểm tra niêm phong còn nguyên vẹn.

Trezor cũng khuyến nghị người dùng cân nhắc dùng ví đa chữ ký “với các thiết bị từ những nhà sản xuất khác nhau”, lập luận rằng cấu trúc này có thể giảm thiểu tác động nếu một thiết bị bị xâm phạm. Lý do rất đơn giản: nếu một thiết bị bị can thiệp và có khả năng làm lộ thông tin hoặc cho phép chi tiêu trái phép, các chính sách đa chữ ký có thể yêu cầu phê duyệt bổ sung từ những thiết bị riêng biệt, ngăn một điểm cuối bị xâm phạm tự ý chuyển tiền.

Những khuyến nghị này làm nổi bật một xu hướng rộng hơn trong hệ sinh thái ví phần cứng: biện pháp bảo vệ kỹ thuật rất quan trọng, nhưng kỷ luật vận hành—nguồn cung đáng tin cậy, kiểm tra tính nguyên vẹn của bao bì và cấu hình ký giao dịch vững chắc—vẫn đóng vai trò thiết yếu khi nguy cơ xâm phạm chuỗi cung ứng hiện hữu.

Thiệt hại có thể lớn đến mức nào và những điều gì vẫn chưa được làm rõ

Việc xác định đầy đủ quy mô tổn thất trong thời gian thực đang tỏ ra khó khăn. Các nhà nghiên cứu blockchain vẫn đang điều tra mức độ thiệt hại đối với người dùng; nghiên cứu được hai cá nhân công khai cho thấy tổn thất có thể nằm trong khoảng từ 72 triệu đến 86 triệu đô la. Hôm thứ Ba, Ledger cho biết họ “chưa xác nhận tổng số người dùng bị ảnh hưởng hay tổng giá trị bị mất”, nhấn mạnh rằng quy mô sự cố vẫn còn chưa rõ.

Người phát ngôn của Trezor thừa nhận bối cảnh rộng hơn, nhưng không khẳng định khách hàng của công ty bị ảnh hưởng. Tuy nhiên, thời điểm Trezor thay đổi mạng lưới đại lý—ngay sau xác nhận của Ledger—cho thấy các biện pháp bảo vệ vận hành có thể được điều chỉnh nhanh chóng ra sao khi sự cố chuỗi cung ứng bị phanh phui.

Trong khi đó, những động thái liên quan trên thị trường cho thấy các nhà phân phối đang ứng phó ra sao. Trong quá trình điều tra liên quan đến Ledger, CryptoBilis đã tạm ngừng toàn bộ hoạt động bán ví phần cứng. Riêng Cointelegraph đưa tin công ty mẹ của nhà bán lẻ điện tử châu Âu MediaMarkt thông báo đã gỡ toàn bộ sản phẩm Ledger khỏi các cửa hàng trực tiếp và nền tảng trực tuyến “như một biện pháp phòng ngừa”.

Những điều cần theo dõi tiếp theo

Đối với người mua, câu hỏi trước mắt là liệu có thêm thông tin về các phương thức can thiệp thiết bị hay không, cũng như mức độ phổ biến của chúng tại các nhà bán lẻ và khu vực. Với toàn thị trường, quyết định của Trezor cho thấy ngay cả khi chưa có bằng chứng về việc bị xâm phạm trực tiếp, các nhà cung cấp ví phần cứng vẫn có thể phân tách các kênh phân phối sâu hơn—điều đó có nghĩa là trong những tháng tới, khách hàng nên chú ý hơn đến nguồn gốc sản phẩm, việc kiểm tra bao bì và cấu trúc ví.

Bài viết này ban đầu được đăng với tiêu đề Trezor cắt giảm đại lý bán lẻ như một biện pháp phòng ngừa sau các báo cáo về Ledger trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.