Ledger xác nhận phát hiện chip ẩn trong ví crypto giữa cáo buộc đánh cắp 92 triệu USD

Ledger vừa chính thức xác nhận rằng họ đã tìm thấy một linh kiện phần cứng trái phép được gắn ẩn bên trong ví tiền mã hóa của một khách hàng. Phát hiện này nằm trong cuộc điều tra được tiến hành từ ngày 10 tháng 10, liên quan đến các cáo buộc đánh cắp tài sản số nhắm vào những người dùng mua thiết bị qua nhà phân phối CryptoBilis ở Đông Nam Á. Các nhà nghiên cứu blockchain ước tính tổng thiệt hại có thể vượt 92 triệu USD, dù Ledger chưa đưa ra con số xác nhận chính thức.

Ví phần cứng tiền mã hóa bị gắn linh kiện trái phép

Ledger xác nhận có linh kiện lạ trong thiết bị

Trong thông báo chính thức, bộ phận hỗ trợ của Ledger cho biết thiết bị bị can thiệp thuộc về một người dùng đang nằm trong diện điều tra. Công ty mô tả linh kiện này là một "hardware implant trái phép" (linh kiện phần cứng được cấy ghép trái phép), nhưng không tiết lộ chính xác model thiết bị, cách linh kiện được gắn vào, hay liệu nó đã từng truyền dữ liệu ra ngoài hay chưa.

"Cập nhật tình hình: Ledger có thể xác nhận rằng thiết bị của một trong những người dùng bị ảnh hưởng có chứa một linh kiện phần cứng trái phép. Ledger đang liên hệ với những người dùng bị ảnh hưởng trong khuôn khổ cuộc điều tra đang diễn ra." — Ledger Support

Đây là lần đầu tiên có bằng chứng trực tiếp về việc can thiệp vật lý vào thiết bị, sau những cảnh báo trước đó về các ví đáng ngờ được phân phối qua nhà bán lẻ CryptoBilis. Ledger nhấn mạnh rằng họ chưa tìm thấy dấu hiệu nào cho thấy hệ thống, hạ tầng hay dịch vụ nội bộ của công ty bị xâm phạm.

CryptoBilis dừng bán toàn bộ ví phần cứng

Sau phát hiện của Ledger, CryptoBilis — nhà phân phối hoạt động tại Indonesia, Malaysia và Philippines — đã xác nhận tạm dừng bán toàn bộ kho ví phần cứng của mình. Lệnh tạm dừng này mở rộng hơn so với yêu cầu ban đầu chỉ dừng bán và vận chuyển sản phẩm Ledger, và sẽ được duy trì cho đến khi cuộc điều tra kết thúc.

Ledger khuyến nghị khách hàng đã mua thiết bị qua CryptoBilis không nên thiết lập ví nếu chưa làm điều đó. Với những ai đã sử dụng, công ty đề nghị cân nhắc chuyển toàn bộ tài sản sang một ví phần cứng mới được khởi tạo bằng cụm từ khôi phục (recovery phrase) hoàn toàn mới. Việc chuyển cụm từ khôi phục cũ sang thiết bị thay thế sẽ không giải quyết được nguy cơ rò rỉ, bởi cụm từ đó có thể đã bị lộ qua phần cứng gốc.

Nhà nghiên cứu phát hiện linh kiện ẩn sau màn hình

Trước khi Ledger công khai xác nhận, cựu CEO của Mt. Gox là Mark Karpelès đã báo cáo việc kiểm tra một thiết bị Ledger Nano X đáng ngờ có nguồn gốc từ Malaysia. Ông phát hiện một linh kiện điện tử được giấu sau màn hình thiết bị, nằm bên trong lớp vật liệu thường dùng để bảo vệ màn hình.

Đáng chú ý, chiếc ví này được đóng gói trông có vẻ nguyên vẹn, đặt ra câu hỏi liệu người dùng có thể nhận ra thiết bị đã bị can thiệp chỉ bằng cách kiểm tra ngoại quan thông thường hay không. Một phân tích kỹ thuật từ Tibane Labs mô tả cấu trúc gồm vi điều khiển (microcontroller), linh kiện truyền thông di động và các kết nối tới đường dữ liệu nội bộ của màn hình. Theo phân tích này, linh kiện gắn dọc theo kết nối màn hình có thể chặn bắt thông tin hiển thị trong quá trình thiết lập ví.

Nếu kẻ tấn công thu được 24 từ khôi phục, chúng có thể tái tạo ví và thực hiện giao dịch mà không cần sở hữu thiết bị gốc. Tuy nhiên, Ledger chưa xác nhận độc lập rằng linh kiện này thực sự thực hiện chức năng đó, cũng như chưa khẳng định nó là nguyên nhân gây ra các vụ đánh cắp được báo cáo.

Ước tính thiệt hại lên tới 92 triệu USD

Trong khi cơ quan điều tra phân tích phần cứng, các nhà nghiên cứu phân tích blockchain đã nỗ lực tính toán giá trị tài sản bị dịch chuyển khỏi các ví nạn nhân. Trong báo cáo ngày 9 tháng 10, Bitquery ước tính khoảng 92,9 triệu USD đã bị rút khỏi 311 ví trên Bitcoin, Ethereum, TRON, BNB Chain và Polygon.

Con số này cao hơn các báo cáo trước đó, vốn dao động từ 72 triệu USD đến hơn 86 triệu USD. Bitquery lý giải mức chênh lệch là do phân tích của họ bao gồm thêm nhiều ví và mạng blockchain khác. Phần thiệt hại lớn nhất liên quan đến giao dịch USDT trên TRON (khoảng 70,5 triệu USD), tiếp theo là Bitcoin (16,8 triệu USD) và Ethereum.

Báo cáo cũng cho biết khoảng 10 triệu USD USDT đã bị phong tỏa tại các địa chỉ liên quan đến vụ đánh cắp bị nghi ngờ. Ngoài ra, nhóm nghiên cứu ghi nhận các giao dịch hoán đổi tiền mã hóa và chuyển tiền tới Tornado Cash — dịch vụ thường được dùng để che giấu lịch sử giao dịch. Đây vẫn là đánh giá độc lập; Ledger chưa xác nhận con số thiệt hại, số lượng nạn nhân hay kết luận về kẻ tấn công.

Cảnh báo về nguy cơ lừa đảo ăn theo sự việc

Cuộc điều tra của Ledger cũng kéo theo cảnh báo về khả năng tội phạm lợi dụng lo ngại của công chúng xung quanh vụ việc để trục lợi. Công ty nhắc nhở khách hàng chỉ nên dựa vào các kênh liên lạc chính thức để nắm thông tin, và khẳng định nhân viên hỗ trợ của Ledger sẽ không bao giờ yêu cầu cụm từ khôi phục 24 từ của người dùng.

Trước đó, các nghiên cứu về các website Ledger giả mạo đã ghi nhận những trang phishing cố gắng lấy cụm từ khôi phục thông qua các yêu cầu xác minh ví giả. Báo cáo công bố ngày 11 tháng 10 đề cập đến các quảng cáo Google độc hại dẫn người dùng đến website và ứng dụng giả mạo Ledger. Chiến dịch phishing này chưa được chứng minh có liên hệ với cuộc điều tra phần cứng CryptoBilis.

Bài học cho người dùng ví phần cứng tại Việt Nam

Với người dùng Việt Nam — nơi thị trường ví phần cứng thường được mua qua kênh phân phối lại hoặc xách tay — sự việc này là lời nhắc nhở quan trọng về rủi ro can thiệp vật lý vào thiết bị. Một số khuyến nghị đáng lưu ý:

• Chỉ mua thiết bị từ kênh phân phối chính thức hoặc nhà bán lẻ có uy tín, hạn chế mua qua trung gian không rõ nguồn gốc.
• Khi khởi tạo ví, hãy tự tay tạo cụm từ khôi phục mới trên thiết bị, tuyệt đối không dùng thiết bị có sẵn cụm từ do người khác cung cấp.
• Kiểm tra kỹ bao bì và số niêm phong (seal) nếu có, và cân nhắc mua trực tiếp từ nhà sản xuất khi có thể.
• Không bao giờ chia sẻ cụm từ khôi phục cho bất kỳ ai, kể cả người được cho là nhân viên hỗ trợ.
• Nếu đã dùng thiết bị từ nguồn đáng ngờ, hãy tạo ví mới với cụm từ khôi phục hoàn toàn mới và chuyển toàn bộ tài sản sang đó.

Ledger cho biết đang phát triển thêm các biện pháp bảo vệ nhằm khiến việc can thiệp vật lý trái phép trở nên khó thực hiện hơn, nhưng chưa công bố thời điểm phát hành hay thiết kế phần cứng mới. Cuộc điều tra vẫn đang tiếp tục, và công ty kêu gọi bất kỳ ai có thông tin liên quan hãy gửi qua chương trình bounty của mình, đồng thời cho biết đã phối hợp với cơ quan thực thi pháp luật và nhận hỗ trợ từ sáng kiến ứng phó sự cố SEAL_911 của Security Alliance.