Ledger xác nhận một thiết bị của người dùng bị ảnh hưởng có phần cứng cấy trái phép, trong thông báo trên X ngày 10/10. Phát hiện này đưa cuộc điều tra các vụ mất tiền liên quan đến đại lý CryptoBilis từ nghi vấn can thiệp chuỗi cung ứng sang bằng chứng về một thiết bị thực sự đã bị sửa đổi.
Đây là diễn biến tiếp theo của vụ người dùng Ledger phản ánh mất tài sản sau khi mua thiết bị qua CryptoBilis. Tuy nhiên, xác nhận mới chưa đủ để kết luận mọi trường hợp mất tiền đều xuất phát từ cùng một cách tấn công.
Một thiết bị bị sửa đổi chưa giải thích toàn bộ thiệt hại
Trong thông báo, Ledger cho biết đang liên hệ với người dùng bị ảnh hưởng, làm việc với các cơ quan chức năng và phối hợp cùng nhóm hỗ trợ an ninh SEAL 911. Hãng khẳng định chưa có dấu hiệu hạ tầng bảo mật, hệ thống hay dịch vụ của Ledger bị xâm phạm. Đây là nhận định hiện tại của doanh nghiệp trong quá trình điều tra, không phải kết luận giám định cho toàn bộ sự cố.
Theo FinanceFeeds ngày 11/10, Ledger chưa công bố chức năng của phần cứng được cấy vào, mẫu thiết bị liên quan hoặc thời điểm thiết bị bị can thiệp. Hãng cũng chưa xác nhận mọi ví được báo cáo mất tài sản đều dùng thiết bị có cấu trúc tương tự.
Nhà điều tra blockchain Specter ước tính tổn thất nghi vấn trên Bitcoin, Ethereum và Tron có thể vượt 86 triệu USD. Ledger chưa xác nhận số tiền này hoặc tổng số khách hàng bị ảnh hưởng. Vì vậy, không nên ghép bằng chứng về một thiết bị bị sửa đổi với một ước tính dòng tiền để khẳng định đã tìm ra nguyên nhân của toàn bộ thiệt hại.
CryptoBilis dừng bán toàn bộ ví cứng trong khi điều tra
Ledger cho biết CryptoBilis đã ngừng bán toàn bộ tồn kho ví cứng như một biện pháp phòng ngừa cho đến khi cuộc điều tra kết thúc. Hai bên đang trao đổi về các bước xử lý tiếp theo. Theo FinanceFeeds, CryptoBilis hoạt động tại Indonesia, Malaysia và Philippines, đồng thời từng được liệt kê là đại lý được Ledger ủy quyền.
Điểm này khiến vụ việc khác với cảnh báo thông thường về thiết bị mua từ một người bán không rõ danh tính. Việc nằm trong hệ thống phân phối được công nhận không tự chứng minh rằng từng thiết bị đã giữ nguyên trạng thái an toàn từ khi xuất xưởng đến lúc người mua khởi tạo ví.
Khuyến nghị của Ledger nhắm trực tiếp đến người mua qua CryptoBilis: nếu chưa thiết lập thiết bị thì không bắt đầu; nếu đã thiết lập, cân nhắc chuyển tài sản sang thiết bị Ledger mới với cụm từ khôi phục mới. Hãng cũng nhắc rằng Ledger sẽ không bao giờ yêu cầu người dùng cung cấp cụm từ khôi phục 24 từ.
Theo giải thích của FinanceFeeds, chuyển tiền sang một tài khoản khác nhưng vẫn được tạo từ cụm từ khôi phục cũ không xử lý được rủi ro nếu cụm từ ấy đã bị lộ. Vấn đề nằm ở quyền kiểm soát khóa, không đơn thuần ở địa chỉ đang chứa tiền.
Điều tra cần làm rõ thiết bị bị can thiệp ở đâu
Ví cứng được thiết kế để tách khóa riêng khỏi máy tính kết nối Internet. Nhưng mô hình đó vẫn cần một giả định đầu vào: thiết bị người dùng nhận được phải đáng tin cậy trước khi tạo khóa và ký giao dịch.
Nhìn từ phát hiện mới, câu hỏi về chuỗi cung ứng đã trở nên cụ thể hơn. Ai đã tiếp cận thiết bị, những lô hàng nào cần kiểm tra và phần cứng cấy thêm thực sự làm gì? Chỉ khi những điểm đó được công bố, người dùng mới có cơ sở phân biệt phạm vi ảnh hưởng đã xác nhận với các giả thuyết đang lan truyền.