• Ledger yêu cầu các đại lý bán lại tại sáu thị trường Đông Nam Á và Hồng Kông ngừng bán và thu hồi thiết bị.

• Tính đến ngày 13 tháng 10, Bitquery đã lần theo dấu vết khoản thiệt hại khoảng 102 triệu USD qua 324 ví.

• Các bo mạch được giấu kín đã đọc cụm từ khôi phục gồm 24 từ và gửi chúng qua các mô-đun LTE có eSIM.

Tạm dừng bán hàng trên khắp Đông Nam Á

Ledger đã yêu cầu các nhà phân phối và đại lý bán lại tại Indonesia, Singapore, Thái Lan, Philippines, Việt Nam, Malaysia và Hồng Kông lập tức ngừng bán ví phần cứng và dọn các thiết bị khỏi kệ hàng tại cửa hàng cũng như các gian hàng trực tuyến cho đến khi cuộc điều tra hoàn tất. Lệnh này mở rộng phạm vi tạm dừng bán hàng trước đây chỉ áp dụng với nhà phân phối CryptoBilis, trong khi công ty vẫn chưa xác định được việc can thiệp đã xảy ra ở khâu nào trong chuỗi cung ứng. Ledger mô tả việc tạm ngừng bán tại khu vực là biện pháp phòng ngừa: đến nay, công ty chưa phát hiện dấu hiệu xâm nhập vào hệ thống nội bộ, phần mềm, chương trình cơ sở hay các kênh bán hàng trực tiếp do công ty chính thức vận hành.

Điều công ty xác nhận là cách các thiết bị bị can thiệp hoạt động. Các bo mạch trái phép được giấu bên trong vỏ và phía dưới màn hình. Khi người mua khởi tạo thiết bị lần đầu và màn hình hiển thị cụm từ khôi phục Ledger gồm 24 từ, một vi điều khiển trong bộ phận cấy ghép sẽ đọc nội dung trên màn hình rồi chuyển tiếp qua mô-đun LTE được trang bị eSIM cấu hình sẵn. Có được cụm từ đó, kẻ tấn công có thể khôi phục ví trên phần cứng do chúng kiểm soát mà không cần chạm lại vào thiết bị của nạn nhân hay thuyết phục bất kỳ ai ký giao dịch. Bộ phận cấy ghép không vô hiệu hóa Secure Element, hệ điều hành của Ledger hay quy trình ký giao dịch. Vì vậy, các thiết bị bị can thiệp vẫn có thể vượt qua Genuine Check: tính năng này xác minh chip bảo mật là hàng thật nhưng không thể phát hiện mạch điện được bổ sung xung quanh chip. Thiệt hại đang tăng lên. Công ty phân tích dữ liệu on-chain Bitquery cho biết, tính đến ngày 13 tháng 10, khoảng 102 triệu USD đã bị rút khỏi 324 ví trên Tron, Bitcoin, Ethereum, Solana, BNB Chain và Polygon, tăng so với các ước tính trước đó từ 86 triệu đến 93 triệu USD. Tether đã đóng băng khoảng 10 triệu USD bằng USDT tại 20 địa chỉ, và khoảng 84 triệu USD vẫn có thể được theo dõi trên chuỗi. Kẻ tấn công đã chuyển khoảng 6.840 ETH vào Tornado Cash, một dịch vụ trộn tiền mã hóa, đồng thời luân chuyển các khoản tiền khác qua Zcash và một dịch vụ hoán đổi nguyên tử như THORChain, khiến việc truy vết và thu hồi trở nên phức tạp hơn. Ledger chưa xác minh số lượng nạn nhân hay tổng thiệt hại cuối cùng; con số 102 triệu USD hiện là ước tính độc lập dựa trên dữ liệu on-chain.

Dấu vết bắt đầu từ ngày 9 tháng 10, khi các báo cáo liên hệ số tiền bị đánh cắp với những ví được tạo bằng thiết bị mua qua CryptoBilis. Trong những ngày sau đó, người dùng ở những nơi khác, bao gồm các thị trường châu Âu, cũng báo cáo rằng các thiết bị mua qua những kênh bán lẻ thông thường dường như đã bị can thiệp. Hôm thứ Ba, Ledger cho biết trong bản cập nhật đăng trên X rằng cuộc điều tra đang diễn ra, nhằm xác định ai đã xử lý các thiết bị và việc chỉnh sửa được thực hiện ở khâu nào trong chuỗi cung ứng. Lệnh đình chỉ áp dụng với các nhà bán lại tại bảy thị trường được nêu tên, phạm vi rộng hơn yêu cầu trước đó buộc CryptoBilis ngừng bán và giao hàng. Ledger cho biết họ không có bằng chứng cho thấy cơ sở hạ tầng, hệ thống nội bộ, dịch vụ hay kênh bán hàng trực tiếp chính thức của mình bị xâm nhập, và các vụ việc đã được xác nhận cho đến nay chỉ giới hạn ở Đông Nam Á; công ty chưa xác lập được mối liên hệ nào giữa các thiết bị mua ở những khu vực khác và các vụ trộm. Nhiều câu hỏi vẫn chưa có lời giải: công ty chưa công bố đầy đủ kết quả điều tra, chưa xác nhận có bao nhiêu thiết bị bị ảnh hưởng và chưa cho biết nguồn gốc nằm ở khâu sản xuất, phân phối hay bán lẻ. Các khiếu nại của người tiêu dùng đang làm gia tăng áp lực. Nhà nghiên cứu on-chain 0xQuit cho rằng CryptoBilis có thể không phải là kênh duy nhất xuất hiện thiết bị bị can thiệp và kêu gọi chủ sở hữu kiểm tra thiết bị của mình, dù Ledger chưa xác nhận nhận định này và việc tháo một thiết bị còn niêm phong không phải là quy trình phát hiện chính thức. Một người dùng cho biết đã mua Ledger Flex tại một cửa hàng ở Sân bay Changi, Singapore vào cuối tháng 6, giữ nguyên niêm phong hộp nhưng vẫn phát hiện bên trong có đầy đủ ăng-ten, pin, eSIM và mô-đun LTE. Một luật sư ở Singapore đã công khai yêu cầu công ty đưa ra hướng dẫn rõ ràng và nhanh chóng hơn cho người tiêu dùng thay vì chỉ cung cấp quy trình gửi yêu cầu hỗ trợ thông thường, viện dẫn một thiết bị được cho là mua từ một nhà bán lẻ điện tử lớn trong nước. Chưa có kế hoạch bồi thường thống nhất nào được công bố.

Vì sao là cả một khu vực, chứ không phải một lô hàng

Theo nhận định của chúng tôi, việc mở rộng từ một nhà phân phối lên bảy thị trường cho thấy Ledger vẫn chưa xác định được khâu xảy ra việc can thiệp; nếu công ty đã khoanh vùng được một lô hàng lỗi thì họ sẽ thu hồi lô đó, chứ không phải cả một khu vực. Điểm mù của Genuine Check mới là vấn đề sâu xa hơn: việc xác minh bằng mật mã đối với chip bảo mật không thể phát hiện mạch điện được bổ sung, vì vậy kiểm tra vật lý vẫn là cách đáng tin cậy duy nhất để người tiêu dùng tự kiểm tra. Người sở hữu thiết bị còn nguyên niêm phong không nên khởi tạo thiết bị; còn người đã thiết lập thiết bị nên chuyển tài sản sang một thiết bị sạch với khóa mới được tạo, thay vì khôi phục bằng cụm từ 24 từ ban đầu. Bất kỳ ai yêu cầu cụm từ đó qua điện thoại hoặc tin nhắn riêng đều đang tìm cách lừa đảo, vì Ledger cho biết họ không bao giờ yêu cầu cụm từ theo cách đó. Độc giả đang thiết lập thiết bị thay thế cũng có thể tham khảo hướng dẫn của chúng tôi về cách staking Cardano (ADA) bằng ví phần cứng Ledger.