• Trezor nhận được thông tin về thiết bị cấy trái phép trong Safe 5 vào ngày 28 tháng 10 và cảnh báo khách hàng vào ngày 30 tháng 10.

• Chiếc ví bị nghi có thiết bị cấy trái phép được mua trên Tokopedia ở Indonesia vào tháng 8 năm 2026.

• Trezor đã loại CryptoBilis khỏi mạng lưới nhà bán lại vào ngày 9 tháng 10 sau khi Ledger xác nhận có hành vi can thiệp.

Nghi vấn cấy thiết bị trái phép trong Trezor Safe 5

Trezor đã yêu cầu những khách hàng mua ví phần cứng từ nhà bán lại cũ của hãng tại Đông Nam Á, CryptoBilis, chuyển tiền của họ sang nơi khác sau khi có báo cáo về một thiết bị cấy độc hại bị nghi ngờ bên trong Trezor Safe 5. Theo thông báo trên blog của công ty ngày 30 tháng 10, sự việc được trình báo vào ngày 28 tháng 10 và liên quan đến một chiếc ví được mua qua CryptoBilis trên Tokopedia ở Indonesia vào tháng 8. Người mua cho biết đã phát hiện một bảng mạch phụ nằm giữa bo mạch chính và màn hình của thiết bị, được gắn mô-đun di động và ăng-ten. Dựa trên mô tả đó, phần cứng này có thể đọc mọi thứ hiển thị trên màn hình, bao gồm cụm từ khôi phục được tạo trong quá trình thiết lập, rồi truyền dữ liệu qua mạng di động bất cứ khi nào thiết bị được cấp nguồn. Bất kỳ ai nắm được cụm từ này đều có thể khôi phục ví trên một thiết bị khác và rút sạch tiền mà không cần thiết bị gốc. Trezor cho biết đã xem xét ảnh chụp và phỏng vấn người mua qua video nhưng vẫn chưa trực tiếp kiểm tra thiết bị; đội ngũ bảo mật của hãng đang sắp xếp việc phân tích trong phòng thí nghiệm. Công ty nhận định báo cáo đủ đáng tin cậy để hành động ngay lập tức. Tất cả những ai mua bất kỳ mẫu Trezor nào từ CryptoBilis kể từ tháng 3 năm 2026 được khuyến cáo chuyển tài sản sang một ví tiền mã hóa mới tạo với cụm từ khôi phục hoàn toàn mới, bởi việc nhập cụm từ đã bị lộ vào thiết bị khác không loại bỏ được rủi ro nào, và cụm từ này về cơ bản là bản sao có thể đọc được của khóa riêng của ví. Những người mua chưa thiết lập thiết bị đã mua được yêu cầu dừng lại và tuyệt đối không nhập cụm từ hiện có. Cho đến nay, chưa có khách hàng nào báo mất tiền. Trezor đang đề nghị đổi thiết bị hoặc tặng phiếu mua hàng để trang trải chi phí cho một thiết bị mới, yêu cầu người mua giữ lại phần cứng và cảnh báo rằng kẻ lừa đảo có thể lợi dụng sự cố này thông qua email và cuộc gọi giả mạo. Công ty cũng cho biết việc mở ví hoặc cân ví không thể phát hiện hành vi can thiệp một cách đáng tin cậy. SEAL 911, dịch vụ ứng phó khẩn cấp của Security Alliance, đang hỗ trợ xử lý sự việc.

Cập nhật (30 tháng 10, 08:31 UTC): Thông tin bổ sung từ báo cáo tiết lộ làm rõ cách vụ can thiệp bị phát hiện: người mua nhận thấy thiết bị có trọng lượng khác thường và đã chuyển tiền sang nơi khác trước khi nhận ra linh kiện đó đáng ngờ.

Thông tin bổ sung từ báo cáo tiết lộ làm rõ cách vụ can thiệp bị phát hiện: người mua nhận thấy thiết bị có trọng lượng khác thường và đã chuyển tiền sang nơi khác trước khi nhận ra linh kiện đó đáng ngờ. Trezor, đơn vị chưa nhận thiết bị này, cho biết bộ cấy được cho là hoạt động tương tự phần cứng phát hiện trong vụ việc đã được xác nhận của Ledger. Công ty nói thêm rằng chưa xác định được ai chịu trách nhiệm và đang giữ lại việc so sánh hai sự cố cho đến khi cuộc điều tra hoàn tất. Báo cáo được gửi qua kênh công bố thông tin có trách nhiệm của công ty. Với những người mua bị ảnh hưởng chưa có ví phần cứng an toàn, Trezor cũng nêu phương án tạm thời là chuyển sang ví phần mềm hoặc sàn giao dịch, đồng thời khẳng định nhân viên hỗ trợ sẽ không bao giờ yêu cầu cụm từ khôi phục.

Arkham lần theo dấu vết 95,35 triệu USD tiền bị đánh cắp

CryptoBilis từng là nhà bán lẻ được ủy quyền của cả Trezor lẫn đối thủ chính Ledger tại Đông Nam Á, và chính cửa hàng này là tâm điểm của một vụ can thiệp đã được xác nhận. Ngày 9 tháng 10, Ledger bắt đầu điều tra các khoản thất thoát của khách hàng mua ví thông qua nhà bán lẻ này, sau đó xác nhận rằng một linh kiện trái phép bên trong các thiết bị bị ảnh hưởng có thể ghi lại cụm từ khôi phục hiển thị trong quá trình thiết lập và gửi chúng ra ngoài qua kết nối LTE. Bộ cấy này hoạt động độc lập với chip bảo mật của thiết bị, nên việc ký giao dịch thông thường không bị ảnh hưởng. Trezor đã loại CryptoBilis khỏi mạng lưới nhà bán lẻ của mình ngay trong ngày hôm đó và đề nghị khách hàng gửi thiết bị đến kiểm tra; đến ngày 19 tháng 10, công ty đã nhận được bốn thiết bị, gồm hai mẫu Safe 5, một Safe 7 và một Safe 3, không thiết bị nào có dấu hiệu can thiệp vật lý. Báo cáo mới đề cập đến một chiếc Safe 5 riêng biệt, không thuộc số thiết bị đã được kiểm tra. Các nhà điều tra chưa xác định được ai đã cài bộ cấy tình nghi hoặc liệu cùng một kẻ tấn công có nhắm vào cả hai thương hiệu hay không. Dòng tiền liên quan đến vụ Ledger rất đáng kể: ngày 29 tháng 10, Arkham Intelligence lần theo dấu vết 95,35 triệu USD tiền bị nghi đánh cắp qua 1.486 địa chỉ trong khoảng thời gian từ ngày 7 đến ngày 9 tháng 10; khoảng 10 triệu USD bằng USDT đã bị đóng băng, trong khi số tiền bị đánh cắp vẫn tiếp tục dịch chuyển qua nhiều mạng blockchain. Riêng cảnh sát Singapore cho biết có 3,5 triệu đô la Singapore tiền thất thoát trong hai vụ liên quan đến thiết bị Ledger bị can thiệp, được mua từ các nhà bán lẻ trong nước. Trezor đã siết chặt danh sách nhà bán lẻ được ủy quyền và đang phối hợp với Ledger cùng các bên khác để điều tra. Công ty cho biết đến nay chưa nhận được báo cáo nào liên quan đến các nhà bán lẻ khác và sẽ cung cấp thêm thông tin sau khi có kết quả xét nghiệm trong phòng thí nghiệm.

Nhận định của COINOTAG: cả hai sự cố đều nhắm vào cùng một điểm yếu — thời điểm cụm từ khôi phục được tạo trên thiết bị đã bị xâm phạm — chứ không phải chip ký giao dịch mà thiết bị sử dụng. Cửa hậu trong chuỗi cung ứng có thể vô hiệu hóa mọi biện pháp bảo vệ trên thiết bị, bởi bí mật bị lộ qua màn hình. Vì vậy, ngay cả ví lạnh được mua đúng cách nhưng từ người bán chưa được xác minh vẫn có thể khiến chủ sở hữu gặp rủi ro. Quyết định cảnh báo khách hàng của Trezor trước khi có xác nhận từ phòng thí nghiệm xuất phát từ lịch sử dùng chung nhà bán lẻ với vụ can thiệp đã được xác nhận của Ledger; mốc tháng 3 năm 2026 là biện pháp phòng ngừa, không phải bằng chứng cho thấy mọi thiết bị đã bán đều bị ảnh hưởng. Tiếp theo, có ba điều quan trọng: kết quả kiểm tra trong phòng thí nghiệm đối với chiếc Safe 5 được báo cáo, liệu các nhà điều tra có liên hệ kẻ tấn công với vụ Ledger hay không, và liệu có xuất hiện thêm thông báo từ các nhà bán lẻ trong khu vực hay không. Độc giả đang cân nhắc các lựa chọn lưu trữ có thể tìm hiểu trước cách ví phần cứng hoạt động rồi mới chuyển tiền (tính đến 08:31 UTC).