Năm 2023, Kaspersky tiết lộ một vụ việc mà tôi nghĩ bất kỳ ai mua ví phần cứng cũng nên biết: thiết bị không hề được cắm vào máy tính, nhưng tiền mã hóa vẫn bị chuyển đi; vấn đề phát sinh trước khi thiết bị đến tay người mua.
Nạn nhân mua một chiếc Trezor Model T trên một trang rao vặt đồ cũ; các tem ba chiều chống hàng giả trên hộp và thân máy đều còn nguyên. Khi tháo thiết bị ra, Kaspersky phát hiện vỏ được dán bằng keo và băng dính hai mặt, chip điều khiển chính đã bị tháo ra và thay thế, còn phiên bản chương trình khởi động thì chưa từng được hãng phát hành.
Firmware đã bị chỉnh sửa thực hiện ba việc: bỏ qua bước xác minh chữ ký nên khi khởi động không báo động; khi khởi tạo hoặc đặt lại, thay cụm từ ghi nhớ được tạo ngẫu nhiên bằng một trong 20 cụm từ đã lưu sẵn trong firmware; nếu có đặt mật khẩu bổ sung thì chỉ lấy ký tự đầu tiên. Vì vậy, đặt lại cũng không thể thoát khỏi 20 cụm từ đó, và kẻ tấn công biết khóa riêng ngay từ đầu. Lịch sử giao dịch cho thấy chúng đợi một tháng mới ra tay.
Trezor xác nhận đây là thiết bị bị bên thứ ba sửa đổi, đồng thời cho biết vụ tấn công chuỗi cung ứng này xảy ra hơn một năm trước khi bài viết được đăng. Đây không phải là trường hợp Trezor chính hãng bị tấn công từ xa, cũng không phải là lỗ hổng mới.
Tôi sẽ không chỉ dựa vào tem chống giả để đánh giá độ an toàn; tem còn nguyên không có nghĩa là chip và firmware bên trong chưa bị sửa đổi. Tài liệu chính thức của Trezor ghi rõ rằng thiết bị của họ không được cài firmware tại nhà máy và không có sẵn cụm từ khôi phục mặc định. Nếu thiết bị mới đã được cài firmware, hãy liên hệ ngay với bộ phận hỗ trợ khách hàng chính thức. Đây là quy trình xuất xưởng riêng của Trezor; các thương hiệu khác có thể không áp dụng tương tự, vì vậy hãy xem hướng dẫn chính thức của từng hãng.
Khuyến nghị chính của Kaspersky và Trezor đều là mua hàng qua các kênh chính thức và đừng bỏ qua cảnh báo trên thiết bị. Cá nhân tôi sẽ không dùng ví phần cứng đã qua sử dụng không rõ nguồn gốc để lưu trữ tiền.