Ngày 9 tháng 10, chiếc két sắt được giới tiền mã hóa tin tưởng nhất đã bị cạy phá. Hệ thống mã hóa của Ledger vẫn nguyên vẹn, cũng chẳng ai nhấp vào đường link lừa đảo nào; vấn đề nằm ở một khâu sớm hơn. Có người đã nhìn thấy cụm từ khôi phục của bạn trước khi thiết bị đến tay bạn.
Trước tiên, nói về vụ việc lần này. Ngày 9 tháng 10, thám tử blockchain Specter phát hiện hàng loạt báo cáo trên X và Reddit về việc người dùng Ledger bị mất tiền. Lần theo dấu vết trên chuỗi, người ta phát hiện hơn 300 ví đã bị gom sạch trên nhiều blockchain như Bitcoin, Ethereum và Tron. Các nhà nghiên cứu độc lập ước tính thiệt hại từ 86 đến 93 triệu USD. Sau đó, Ledger ra hai thông báo xác nhận rằng tất cả các trường hợp đã được xác minh đều liên quan đến thiết bị từ cùng một nhà phân phối ở Đông Nam Á, CryptoBilis; và trong một thiết bị bị ảnh hưởng, người ta thực sự tìm thấy một linh kiện phần cứng được cài trái phép.
Mark Karpelès, cựu CEO của Mt.Gox, đã tháo một thiết bị còn nguyên bao bì để tìm hiểu cách linh kiện này hoạt động. Bên dưới lớp đệm màn hình có một mô-đun nhỏ: một vi điều khiển nối vào dây dữ liệu SPI của màn hình, một mô-đun LTE có eSIM và một ăng-ten. Khi bạn bật thiết bị để tạo cụm từ khôi phục, từng từ hiện lên màn hình để bạn chép lại. Mô-đun này âm thầm nghe lén đường dữ liệu màn hình, ghi lại đầy đủ 24 từ rồi gửi chúng cho kẻ tấn công qua mạng di động. Sau đó mọi chuyện rất đơn giản: kẻ tấn công dùng cụm từ khôi phục để rút sạch ví.
Điều đau lòng nhất là thiết bị vẫn vượt qua bước xác thực hàng chính hãng của Ledger. Secure Element là hàng thật, cụm từ khôi phục là thật, chữ ký cũng là thật. Secure Element có thể đảm bảo khóa riêng tư không bị trích xuất, nhưng không thể ngăn ai đó chụp lại màn hình. Khóa riêng tư chưa bao giờ rời khỏi thiết bị, nhưng cụm từ khôi phục đã bị đánh cắp trong vài giây nó hiển thị trên màn hình.
Điều khiến người ta lạnh sống lưng hơn nữa là bộ thiết bị này đã trải qua ba thế hệ cải tiến. Thế hệ đầu tiên vẫn phải đấu dây thủ công, thậm chí còn phải thay pin bằng loại nhỏ hơn. Đến thế hệ thứ hai, họ chuyển sang dùng mạch in dẻo. Thế hệ thứ ba mới nhất đáng sợ nhất: mở vỏ máy ra, pin và bo mạch chủ nguyên bản vẫn còn đó, chỉ có thêm một ăng-ten đen mảnh ở mép trên của vỏ. Đây không phải sản phẩm của một cá nhân tự chế, mà là một chuỗi tấn công vào chuỗi cung ứng có hoạt động nghiên cứu, cải tiến và tổ chức bài bản.
Chuyện này có ý nghĩa gì với những nhà đầu tư nhỏ lẻ như chúng ta? Tôi xin phân tích ba điểm. Thứ nhất, chỉ mua ví phần cứng từ trang web chính thức. Dù nhà phân phối trông có uy tín đến đâu, dù rẻ hơn vài chục tệ, cũng đừng mua. Tất cả thiết bị trong vụ này đều đến từ kênh nhà phân phối; không có chiếc nào mua trực tiếp từ trang web chính thức bị ảnh hưởng. Thứ hai, nhận hàng rồi đừng vội sử dụng. Hãy kiểm tra niêm phong bao bì, cân thử trọng lượng và xem thân máy có vật lạ nào không. Nếu thấy có gì bất thường, hãy liên hệ trực tiếp với bộ phận hỗ trợ chính thức. Nói thật, ăng-ten ở thế hệ thứ ba được giấu rất kỹ, chỉ sờ bằng tay chưa chắc phát hiện ra, nên cách an toàn nhất vẫn là điều thứ nhất: chỉ mua từ trang web chính thức. Hướng dẫn lần này của Ledger là: thiết bị chưa kích hoạt thì đừng khởi tạo; thiết bị đang sử dụng thì hãy chuyển sang một bộ cụm từ khôi phục mới. Thứ ba, Ledger sẽ không bao giờ gọi điện hay nhắn tin riêng để xin 24 từ của bạn. Ai hỏi xin chúng thì chắc chắn là kẻ lừa đảo. Sau vụ việc này, chắc chắn sẽ có những kẻ giả mạo nhân viên hỗ trợ chính thức để lừa đảo.
Còn có một diễn biến tiếp theo đầy hài hước đen tối. Ngày 16 tháng 10, Chainalysis tiết lộ rằng một kẻ lừa đảo chuyên lừa người khác làm nhiệm vụ đã cất tiền lừa được trong một chiếc Ledger bị cài linh kiện như vậy, rồi bị kẻ tấn công vét mất 60 Bitcoin, tương đương khoảng 4,9 triệu USD. Kẻ lừa đảo bị kẻ lừa đảo khác cuỗm mất tiền; trên blockchain chẳng có chuyện được miễn trừ đâu.
Quan điểm của tôi gói gọn trong một câu: ví phần cứng có thể chống được hacker, nhưng không chống được thói ham rẻ của bạn. Mỗi đồng tiết kiệm khi mua ví đều là một canh bạc với toàn bộ tài sản của mình.
Ví phần cứng của bạn mua ở đâu, trang web chính thức hay nhà phân phối? Hãy chia sẻ ở phần bình luận, để tôi xem có bao nhiêu người giống tôi, trước đây cũng chọn mua qua bên thứ ba cho tiện.
#硬件钱包 #Ledger #防骗 #Tấn_công_chuỗi_cung_ứng
—— web3韭菜小凯
Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích học hỏi và chia sẻ cá nhân, không cấu thành bất kỳ lời khuyên đầu tư nào. Thị trường có rủi ro, hãy thận trọng khi tham gia.
Trước tiên, nói về vụ việc lần này. Ngày 9 tháng 10, thám tử blockchain Specter phát hiện hàng loạt báo cáo trên X và Reddit về việc người dùng Ledger bị mất tiền. Lần theo dấu vết trên chuỗi, người ta phát hiện hơn 300 ví đã bị gom sạch trên nhiều blockchain như Bitcoin, Ethereum và Tron. Các nhà nghiên cứu độc lập ước tính thiệt hại từ 86 đến 93 triệu USD. Sau đó, Ledger ra hai thông báo xác nhận rằng tất cả các trường hợp đã được xác minh đều liên quan đến thiết bị từ cùng một nhà phân phối ở Đông Nam Á, CryptoBilis; và trong một thiết bị bị ảnh hưởng, người ta thực sự tìm thấy một linh kiện phần cứng được cài trái phép.
Mark Karpelès, cựu CEO của Mt.Gox, đã tháo một thiết bị còn nguyên bao bì để tìm hiểu cách linh kiện này hoạt động. Bên dưới lớp đệm màn hình có một mô-đun nhỏ: một vi điều khiển nối vào dây dữ liệu SPI của màn hình, một mô-đun LTE có eSIM và một ăng-ten. Khi bạn bật thiết bị để tạo cụm từ khôi phục, từng từ hiện lên màn hình để bạn chép lại. Mô-đun này âm thầm nghe lén đường dữ liệu màn hình, ghi lại đầy đủ 24 từ rồi gửi chúng cho kẻ tấn công qua mạng di động. Sau đó mọi chuyện rất đơn giản: kẻ tấn công dùng cụm từ khôi phục để rút sạch ví.
Điều đau lòng nhất là thiết bị vẫn vượt qua bước xác thực hàng chính hãng của Ledger. Secure Element là hàng thật, cụm từ khôi phục là thật, chữ ký cũng là thật. Secure Element có thể đảm bảo khóa riêng tư không bị trích xuất, nhưng không thể ngăn ai đó chụp lại màn hình. Khóa riêng tư chưa bao giờ rời khỏi thiết bị, nhưng cụm từ khôi phục đã bị đánh cắp trong vài giây nó hiển thị trên màn hình.
Điều khiến người ta lạnh sống lưng hơn nữa là bộ thiết bị này đã trải qua ba thế hệ cải tiến. Thế hệ đầu tiên vẫn phải đấu dây thủ công, thậm chí còn phải thay pin bằng loại nhỏ hơn. Đến thế hệ thứ hai, họ chuyển sang dùng mạch in dẻo. Thế hệ thứ ba mới nhất đáng sợ nhất: mở vỏ máy ra, pin và bo mạch chủ nguyên bản vẫn còn đó, chỉ có thêm một ăng-ten đen mảnh ở mép trên của vỏ. Đây không phải sản phẩm của một cá nhân tự chế, mà là một chuỗi tấn công vào chuỗi cung ứng có hoạt động nghiên cứu, cải tiến và tổ chức bài bản.
Chuyện này có ý nghĩa gì với những nhà đầu tư nhỏ lẻ như chúng ta? Tôi xin phân tích ba điểm. Thứ nhất, chỉ mua ví phần cứng từ trang web chính thức. Dù nhà phân phối trông có uy tín đến đâu, dù rẻ hơn vài chục tệ, cũng đừng mua. Tất cả thiết bị trong vụ này đều đến từ kênh nhà phân phối; không có chiếc nào mua trực tiếp từ trang web chính thức bị ảnh hưởng. Thứ hai, nhận hàng rồi đừng vội sử dụng. Hãy kiểm tra niêm phong bao bì, cân thử trọng lượng và xem thân máy có vật lạ nào không. Nếu thấy có gì bất thường, hãy liên hệ trực tiếp với bộ phận hỗ trợ chính thức. Nói thật, ăng-ten ở thế hệ thứ ba được giấu rất kỹ, chỉ sờ bằng tay chưa chắc phát hiện ra, nên cách an toàn nhất vẫn là điều thứ nhất: chỉ mua từ trang web chính thức. Hướng dẫn lần này của Ledger là: thiết bị chưa kích hoạt thì đừng khởi tạo; thiết bị đang sử dụng thì hãy chuyển sang một bộ cụm từ khôi phục mới. Thứ ba, Ledger sẽ không bao giờ gọi điện hay nhắn tin riêng để xin 24 từ của bạn. Ai hỏi xin chúng thì chắc chắn là kẻ lừa đảo. Sau vụ việc này, chắc chắn sẽ có những kẻ giả mạo nhân viên hỗ trợ chính thức để lừa đảo.
Còn có một diễn biến tiếp theo đầy hài hước đen tối. Ngày 16 tháng 10, Chainalysis tiết lộ rằng một kẻ lừa đảo chuyên lừa người khác làm nhiệm vụ đã cất tiền lừa được trong một chiếc Ledger bị cài linh kiện như vậy, rồi bị kẻ tấn công vét mất 60 Bitcoin, tương đương khoảng 4,9 triệu USD. Kẻ lừa đảo bị kẻ lừa đảo khác cuỗm mất tiền; trên blockchain chẳng có chuyện được miễn trừ đâu.
Quan điểm của tôi gói gọn trong một câu: ví phần cứng có thể chống được hacker, nhưng không chống được thói ham rẻ của bạn. Mỗi đồng tiết kiệm khi mua ví đều là một canh bạc với toàn bộ tài sản của mình.
Ví phần cứng của bạn mua ở đâu, trang web chính thức hay nhà phân phối? Hãy chia sẻ ở phần bình luận, để tôi xem có bao nhiêu người giống tôi, trước đây cũng chọn mua qua bên thứ ba cho tiện.
#硬件钱包 #Ledger #防骗 #Tấn_công_chuỗi_cung_ứng
—— web3韭菜小凯
Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích học hỏi và chia sẻ cá nhân, không cấu thành bất kỳ lời khuyên đầu tư nào. Thị trường có rủi ro, hãy thận trọng khi tham gia.