Các ví phần cứng Ledger tại Đông Nam Á bị phát hiện bị can thiệp, bị đánh cắp 102 triệu USD

Khách hàng ở Đông Nam Á phát hiện vào đầu tháng 10 rằng tiền điện tử đã biến mất khỏi các ví phần cứng Ledger vẫn hiển thị hoạt động bình thường. Các khách hàng này mua thiết bị thông qua CryptoBilis, một nhà phân phối được ủy quyền hoạt động tại Malaysia, Indonesia và Philippines. Ledger xác nhận một thiết bị bị cài đặt trái phép vào ngày 10 tháng 10. Ba ngày sau, nhóm bảo mật của Ledger giải thích rằng các linh kiện điện tử bổ sung đã sao chép 24 từ khôi phục của ví trong quá trình thiết lập và truyền các từ này qua kết nối di động. Chip được bảo vệ, hệ điều hành và chữ ký giao dịch vẫn không thay đổi. Bitquery ước tính kẻ tấn công đã đánh cắp 102 triệu USD từ 324 ví trên sáu mạng lưới, mặc dù Ledger chưa xác nhận tổng số này hoặc khẳng định mọi tổn thất đều liên quan đến thiết bị bị cài đặt trái phép.

Các ví phần cứng bảo vệ các khóa riêng tư được sử dụng để ủy quyền giao dịch, trong khi tài sản tiền điện tử vẫn nằm trên các mạng blockchain. Một ví sẽ ký một giao dịch được phê duyệt mà không cung cấp khóa riêng tư cho máy tính được kết nối. Trong quá trình thiết lập, ví Ledger hiển thị 24 từ khôi phục có thể tái tạo ví và các khóa của nó nếu thiết bị bị mất. Người dùng được hướng dẫn ghi lại cụm từ khôi phục, lưu cụm từ này ngoại tuyến và không bao giờ chia sẻ cụm từ này. Bất kỳ ai có cụm từ khôi phục đều có thể khôi phục cùng các tài khoản trên thiết bị khác mà không bị chặn bởi PIN của ví ban đầu. Ledger cho biết một bộ điều khiển nhỏ đã chặn thông tin được gửi đến màn hình, tái tạo cụm từ khôi phục và truyền cụm từ này qua LTE bằng thẻ SIM tích hợp.

Việc cài đặt không cần xâm nhập vào chip được bảo vệ hay lừa chủ sở hữu nhập các từ khôi phục trên trang web giả. Chủ sở hữu có thể hoàn tất thiết lập và xác nhận các giao dịch hợp lệ trong khi kẻ tấn công vẫn giữ quyền truy cập tương đương vào số tiền. Một mật khẩu bổ sung tùy chọn có thể bảo vệ các tài khoản được tạo với mật khẩu đó, nhưng các từ khôi phục đơn thuần đã đủ để bảo vệ các tài khoản thông thường. Kiểm tra Chính hãng của Ledger xác minh rằng thiết bị chứa một Secure Element chính hãng, chip chịu trách nhiệm cho các hoạt động bảo mật nhạy cảm. Kiểm tra Chính hãng có thể phát hiện chip giả nhưng không thể kiểm tra mọi thành phần hoặc chứng minh rằng không có gì được thêm vào sau khi sản xuất. Tài liệu bảo mật của Ledger cảnh báo rằng các thay đổi về mặt vật lý có thể thoát khỏi phát hiện khi chip gốc vẫn còn nguyên vẹn.

Tibane Labs đã kiểm tra các thiết bị Ledger Nano X đã được sửa đổi, chứa các linh kiện điện tử giám sát tín hiệu giữa chip bảo mật và màn hình. Một mẫu tinh vi hơn đã ẩn một bảng mạch tùy chỉnh bên dưới màn hình và giữ nguyên pin gốc, ngăn chặn việc phát hiện sự thay đổi thông qua kiểm tra sơ bộ. Những mẫu này là riêng biệt với cuộc điều tra CryptoBilis và không chứng minh rằng cùng các thiết bị hoặc kẻ tấn công đã tham gia. Việc các chip xác thực, chữ ký chính xác và hoạt động bình thường không chứng minh rằng toàn bộ thiết bị không bị can thiệp.

Ledger khuyến nghị mua hàng thông qua các nhà bán được ủy quyền, khiến vụ việc CryptoBilis trở thành vấn đề về sự tin cậy xuyên suốt chuỗi phân phối, chứ không đơn thuần là sản phẩm giả. Trong bản cập nhật ngày 15 tháng 10, Ledger cho biết các kẻ tấn công đã mua các thiết bị chính hãng trong nhiều tháng, mở thiết bị, lắp đặt các linh kiện tùy chỉnh và đưa các thiết bị này trở lại chuỗi phân phối thông qua các nhà phân phối tại Đông Nam Á. Ledger mô tả sự việc này là một cuộc tấn công vào kênh phân phối. Ledger cho biết các mẫu kiểm tra tại kho và cửa hàng không có dấu hiệu bị can thiệp. Ledger cho biết công ty đã yêu cầu các nhà phân phối và đại lý được ủy quyền tại Đông Nam Á và Hồng Kông tạm ngừng bán hàng. Ledger đang siết chặt các biện pháp kiểm soát đối với sản phẩm trả lại và yêu cầu các nhà bán giữ thiết bị không đặt trên kệ trưng bày. MediaMarktSaturn của Đức đã tạm ngừng bán sản phẩm Ledger sau khi báo cáo về một thiết bị bị can thiệp. Trezor đã tiến hành thu hẹp mạng lưới đại lý của đối thủ cạnh tranh này, dù không tìm thấy bằng chứng nào cho thấy sản phẩm Trezor bị xâm phạm.

Bitquery phát hiện 25 ví Tron đã xác nhận cùng một quyền trong vòng ba giây, một mẫu phù hợp với việc ai đó đã kiểm soát nhiều tài khoản. Hồ sơ blockchain không thể xác định ai đã mở bao bì, lắp ráp các linh kiện hoặc trả thiết bị về cửa hàng; những câu hỏi đó yêu cầu kiểm tra phần cứng và hồ sơ phân phối.

Việc mua thiết bị mới và nhập lại 24 từ khôi phục cũ sẽ tái tạo cùng rủi ro, vì cụm từ cũ sẽ khôi phục lại cùng các khóa cũ. Tài sản cần được chuyển đến các tài khoản được tạo từ cụm khôi phục mới trên thiết bị đáng tin cậy, sử dụng địa chỉ và hướng dẫn đã được xác minh cẩn thận. Ledger đã cảnh báo người mua CryptoBilis không khởi tạo các thiết bị chưa sử dụng và khuyên các khách hàng đã hoàn tất thiết lập nên chuyển tiền đến người ký mới với cụm từ mới. Những chủ sở hữu bị ảnh hưởng nên sử dụng các kênh hỗ trợ chính thức, lưu giữ các bằng chứng có liên quan và tuyệt đối không cung cấp từ khôi phục cho bất kỳ ai tuyên bố có thể giúp khôi phục tiền. Sự cố này cho thấy tính bảo mật của ví phần cứng kéo dài qua màn hình, vỏ, bao bì và chuỗi phân phối cho đến khi các từ khôi phục lần đầu tiên xuất hiện. Tự lưu trữ loại bỏ nhu cầu tin tưởng sàn giao dịch giữ các khóa riêng, nhưng chủ sở hữu vẫn phải tin tưởng vào phần cứng tạo ra và hiển thị các khóa đó.