Ví cứng Ledger tại Đông Nam Á bị can thiệp trái phép, 102 triệu USD bị đánh cắp

Đầu tháng 10, khách hàng tại Đông Nam Á phát hiện tài sản crypto biến mất khỏi ví cứng Ledger dù thiết bị vẫn hoạt động bình thường. Những khách hàng này mua thiết bị qua CryptoBilis, nhà bán lại được ủy quyền tại Malaysia, Indonesia và Philippines. Ngày 10/10, Ledger xác nhận thiết bị của một khách hàng bị ảnh hưởng có gắn linh kiện trái phép. Ba ngày sau, đội ngũ bảo mật của hãng giải thích linh kiện bổ sung đã sao chép cụm 24 từ khôi phục trong lúc thiết lập ví rồi truyền dữ liệu đi qua kết nối di động. Chip bảo vệ, hệ điều hành và chữ ký giao dịch vẫn nguyên vẹn. Bitquery ước tính kẻ tấn công lấy đi 102 triệu USD từ 324 ví trên sáu mạng blockchain. Ledger chưa xác nhận con số này và cũng chưa chứng minh mọi tổn thất đều gắn với thiết bị bị cấy linh kiện. Ví cứng bảo vệ khóa riêng dùng để ủy quyền giao dịch, còn tài sản crypto vẫn nằm trên các mạng blockchain. Ví ký một giao dịch đã được duyệt mà không đưa khóa riêng cho máy tính kết nối. Khi thiết lập, ví Ledger hiển thị cụm 24 từ khôi phục, đủ để tái tạo ví và khóa nếu thiết bị thất lạc. Chủ ví được hướng dẫn ghi lại cụm từ này, giữ ngoại tuyến và không chia sẻ với bất kỳ ai. Ai nắm cụm từ khôi phục đều khôi phục được các tài khoản tương tự trên thiết bị khác mà không bị mã PIN của ví gốc ngăn lại. Theo Ledger, một bộ điều khiển nhỏ đã chặn thông tin gửi tới màn hình, tái tạo cụm từ khôi phục và truyền đi qua LTE bằng SIM nhúng. Thiết bị cấy ghép không cần xâm phạm chip bảo vệ, cũng không cần lừa chủ ví nhập cụm từ khôi phục vào website giả. Chủ ví có thể hoàn tất thiết lập và phê duyệt các giao dịch hợp lệ, trong khi kẻ tấn công vẫn nắm quyền truy cập tương đương vào số tiền. Cụm passphrase tùy chọn có thể bảo vệ tài khoản tạo bằng chính passphrase đó, nhưng với tài khoản thông thường, chỉ cụm từ khôi phục là đủ. Genuine Check của Ledger xác minh thiết bị có Secure Element chính hãng, con chip đảm nhiệm các thao tác bảo mật nhạy cảm. Công cụ này phát hiện được chip giả nhưng không kiểm tra được từng linh kiện hay chứng minh không có gì được thêm vào sau khi sản xuất. Tài liệu bảo mật của Ledger cảnh báo các can thiệp vật lý có thể thoát khỏi kiểm tra khi chip gốc còn nguyên vẹn. Tibane Labs đã kiểm tra những thiết bị Ledger Nano X bị sửa đổi, bên trong có linh kiện theo dõi tín hiệu giữa chip bảo mật và màn hình. Một mẫu tinh vi hơn giấu bo mạch tùy chỉnh dưới màn hình và giữ nguyên pin gốc, khiến việc kiểm tra thông thường khó phát hiện. Những mẫu này thuộc cuộc điều tra riêng, không liên quan tới CryptoBilis, và không chứng minh cùng thiết bị hay cùng nhóm tấn công. Chip chính hãng, chữ ký đúng và hoạt động bình thường không đủ để khẳng định một thiết bị không bị can thiệp. Ledger khuyến nghị mua qua nhà bán được ủy quyền, biến vụ CryptoBilis thành câu hỏi về niềm tin trong toàn bộ chuỗi phân phối chứ không chỉ là chuyện hàng giả. Trong cập nhật ngày 15/10, Ledger cho biết kẻ tấn công mua thiết bị chính hãng trong nhiều tháng, mở máy, gắn linh kiện tùy chỉnh rồi đưa trở lại kênh phân phối qua các nhà bán lại ở Đông Nam Á. Hãng mô tả đây là cuộc tấn công vào kênh phân phối. Các mẫu kiểm tra tại kho và cửa hàng không cho thấy dấu hiệu can thiệp. Ledger đã yêu cầu nhà bán lại và nhà phân phối được ủy quyền tại Đông Nam Á cùng Hong Kong tạm dừng bán sản phẩm, đồng thời siết kiểm soát hàng trả lại và đề nghị người bán không trưng bày thiết bị trên kệ. MediaMarktSaturn của Đức cũng dừng bán Ledger sau báo cáo về một thiết bị bị can thiệp. Trezor thu hẹp mạng lưới nhà bán lại của đối thủ dù không tìm thấy bằng chứng sản phẩm Trezor bị xâm phạm. Bitquery phát hiện 25 ví Tron cùng ký một phê duyệt trong vòng ba giây, dấu hiệu của việc ai đó đã kiểm soát nhiều tài khoản. Hồ sơ blockchain không thể xác định ai mở hộp, ai gắn linh kiện hay ai trả thiết bị về cửa hàng; những câu hỏi đó cần giám định phần cứng và hồ sơ phân phối. Mua thiết bị mới rồi nhập lại cụm 24 từ khôi phục cũ sẽ tái tạo đúng rủi ro đó, vì cụm từ cũ khôi phục các khóa cũ. Tài sản cần được chuyển sang tài khoản tạo từ cụm từ khôi phục hoàn toàn mới trên thiết bị đáng tin cậy, với địa chỉ và hướng dẫn được kiểm tra kỹ. Ledger khuyên người mua qua CryptoBilis không khởi tạo các thiết bị chưa dùng, đồng thời đề nghị khách đã hoàn tất thiết lập chuyển tiền sang signer mới với cụm từ mới. Chủ ví bị ảnh hưởng nên dùng kênh hỗ trợ chính thức, giữ lại bằng chứng có thể liên quan và không bao giờ tiết lộ cụm từ khôi phục cho người tự nhận giúp lấy lại tiền. Sự việc cho thấy an ninh của ví cứng trải suốt màn hình, vỏ máy, bao bì và chuỗi phân phối cho tới khi cụm từ khôi phục xuất hiện lần đầu. Tự lưu ký giúp bỏ nhu cầu tin vào sàn giữ khóa riêng, nhưng chủ ví vẫn phải tin vào phần cứng tạo ra và hiển thị những khóa đó.