Ledger ghi nhận thiệt hại 90 triệu USD trong vụ rút sạch ví liên quan kênh phân phối CryptoBilis

Theo Odaily Planet Daily, nhà cung cấp ví cứng Ledger tiếp tục đối mặt một sự cố an ninh mới, với các công ty bảo mật độc lập ước tính tổng thiệt hại xấp xỉ 90 triệu USD. Ledger cho biết đang điều tra các khoản tiền bị thất thoát liên quan đến thiết bị do nhà phân phối được ủy quyền tại Đông Nam Á là CryptoBilis bán ra, đồng thời yêu cầu đơn vị này tạm dừng toàn bộ hoạt động bán hàng và giao hàng. Ledger khuyến cáo người dùng đã mua thiết bị qua kênh CryptoBilis trong vòng 90 ngày gần đây cần đặc biệt thận trọng hoặc chủ động chuyển tài sản sang địa chỉ/ví an toàn. Nguyên nhân hiện chưa được xác nhận, nhưng nghi vấn tập trung vào rủi ro bị can thiệp chuỗi cung ứng hoặc bị chỉnh sửa thiết bị. Các sự cố lớn trước đây của Ledger liên quan tấn công và tổn thất gồm: - Năm 2018: xuất hiện loạt phát hiện về lỗ hổng ở phần cứng đời đầu và rủi ro chuỗi cung ứng. Các nhà nghiên cứu chứng minh khả năng can thiệp thiết bị Nano S trước khi giao hàng, vượt qua MCU bootloader, lỗ hổng cách ly và tiêm địa chỉ "change" của Bitcoin. Ledger sau đó phát hành khuyến nghị bảo mật và triển khai bản vá; phần lớn là lỗ hổng ở mức nghiên cứu hoặc đòi hỏi phải có quyền truy cập vật lý vào thiết bị. - Năm 2020: xảy ra vụ rò rỉ dữ liệu khách hàng quy mô lớn. Kẻ tấn công lợi dụng API key của bên thứ ba và các điểm yếu liên quan Shopify để truy cập cơ sở dữ liệu thương mại điện tử và marketing, làm lộ hơn 1 triệu địa chỉ email và khoảng 272.000 đến 292.000 bản ghi khách hàng (tên, địa chỉ, số điện thoại). Ví cứng và khóa riêng không bị xâm phạm, nhưng sự cố kéo theo các chiến dịch lừa đảo phishing, social engineering và mạo danh dựa trên thông báo giả trong thời gian dài. - Tháng 12/2023: Ledger Connect Kit bị tấn công chuỗi cung ứng. Một cựu nhân viên bị phishing khiến tài khoản NPMJS bị chiếm quyền, tạo điều kiện phát hành phiên bản Connect Kit độc hại, chèn mã vào các DApp sử dụng thư viện, lừa người dùng ký giao dịch để rút tiền. Cửa sổ tấn công kéo dài khoảng 2 giờ, gây thiệt hại 480.000 đến 600.000 USD. Thiết bị ví cứng và ứng dụng Ledger Live không bị xâm nhập trực tiếp. - Tháng 1/2026: rò rỉ dữ liệu đơn hàng từ đối tác bên thứ ba Globale. Truy cập trái phép vào hệ thống đối tác thanh toán và logistics làm lộ một phần thông tin liên quan đơn hàng trên Ledger.com, gồm tên, địa chỉ và thông tin liên hệ. Hệ thống của Ledger và khóa riêng không bị ảnh hưởng, nhưng rủi ro phishing tăng trở lại. - Tháng 4/2026: ứng dụng Ledger Live giả mạo xuất hiện trên App Store, lừa người dùng nhập seed phrase. Ứng dụng giả tồn tại khoảng một tuần, gây thiệt hại khoảng 9,5 triệu USD đối với hơn 50 nạn nhân trên nhiều blockchain. Apple sau đó gỡ bỏ; Ledger nhấn mạnh công ty không bao giờ yêu cầu seed phrase 24 từ. - Tháng 8/2026: Ledger công bố các lỗ hổng liên quan cơ chế ký của ứng dụng Ethereum, bao gồm tình trạng "command interleaving" khiến nội dung hiển thị lệch so với tham số ký và khả năng vượt qua "clear-signing". Các lỗ hổng cần sự phối hợp của máy chủ độc hại; Ledger cho biết chưa có bằng chứng bị khai thác ngoài thực tế và đã khắc phục trong phiên bản mới. - Ngày 9/10/2026: xảy ra vụ rút sạch ví quy mô lớn liên quan các nhà phân phối CryptoBilis, ước tính thiệt hại gần 90 triệu USD. Ledger đang điều tra; dấu hiệu cho thấy đây là tấn công chuỗi cung ứng hoặc can thiệp thiết bị nhắm vào một kênh phân phối duy nhất. Công ty đã dừng bán và khuyến nghị người dùng bị ảnh hưởng di chuyển tài sản.