Ledger phát hiện linh kiện cấy ghép trái phép trên thiết bị của người dùng báo mất tiền

Ledger cho biết đã phát hiện một linh kiện phần cứng cấy ghép trái phép trên thiết bị của một người dùng báo mất tiền. Công ty chưa công bố linh kiện này liên quan thế nào đến việc chiếm đoạt tiền.

Ledger điều tra báo cáo mất tiền của một người mua qua CryptoBilis, nhà bán lẻ tại Đông Nam Á, và đề nghị đơn vị này dừng bán, giao sản phẩm. Ledger cho biết không có dấu hiệu hạ tầng, hệ thống hay dịch vụ của công ty bị xâm nhập. Số thiết bị bị ảnh hưởng và tổng thiệt hại chưa được công bố.

Danh sách nhà bán lẻ chính thức của Ledger có CryptoBilis tại Indonesia, Malaysia và Philippines. Thông tin này chỉ xác nhận đơn vị được đăng ký là nhà bán lẻ chính thức, không chứng minh thiết bị cụ thể bị can thiệp ở đâu. Trước đó, TokenPost đã đưa tin về những lo ngại rủi ro tại các điểm bán khác sau sự cố CryptoBilis. Chưa xác định được tin báo từ châu Âu lần này có liên quan đến cùng vấn đề chuỗi cung ứng hay không.

Cũng có thông tin người dùng mua thiết bị Ledger tại một cửa hàng trực tiếp ở châu Âu. CoinScreener dẫn bài đăng và hình ảnh của một người dùng X tên Johannes để đưa tin về tuyên bố này, nhưng bài đăng gốc và bằng chứng mua hàng chưa được xác minh độc lập.

Mark Karpelès nhận định qua các bức ảnh được công bố rằng thiết bị trông giống phiên bản ban đầu của linh kiện cấy ghép mà ông đang điều tra. Chưa có tài liệu xác nhận ông trực tiếp kiểm tra thiết bị trong tin báo từ châu Âu. Chỉ dựa vào tuyên bố rằng thiết bị được mua tại châu Âu thì chưa thể kết luận nhà bán lẻ hoặc mạng lưới phân phối ở khu vực này có vấn đề.

Tính năng xác thực Genuine Check của Ledger kiểm tra tính xác thực của phần tử bảo mật. Ledger Donjon cho biết phép kiểm tra này có thể không phát hiện được mạch trái phép được bổ sung trong khi phần tử bảo mật vẫn nguyên vẹn. Vì vậy, vượt qua bước xác thực không đồng nghĩa chắc chắn thiết bị không có mạch bổ sung.

Trên Reddit, tại diễn đàn r/ledgerwallet, một số người đề xuất xáo trộn thứ tự khi nhập các từ khôi phục. Họ cho rằng cách này có thể khiến linh kiện đọc màn hình khó lấy được cụm từ khôi phục.

Trong phần bình luận, một ý kiến phản bác rằng nếu linh kiện có thể đọc cả từ lẫn số thứ tự trên màn hình, việc đổi thứ tự sẽ không ngăn được cuộc tấn công mà chỉ làm chậm quá trình tự động hóa. Đây là các ý kiến trong cộng đồng, chưa được xác nhận bằng kết quả thử nghiệm hay khuyến nghị của Ledger.

Ledger chưa thông báo đang xem xét hoặc triển khai việc thay đổi thứ tự nhập từ khôi phục. Với thông tin hiện có, cũng chưa thể xác định tin báo từ châu Âu và trường hợp liên quan đến Ledger Flex được đưa tin hôm trước có phải cùng một vụ việc hay không.