Ledger đã công bố vào ngày 15 tháng 10 năm 2026 về các yêu cầu bảo mật mới dành cho các nhà bán lẻ được ủy quyền. Trước đó, các kẻ tấn công đã cài đặt các linh kiện điện tử ẩn trong ví tiền điện tử chính hãng để đánh cắp cụm từ khôi phục của người dùng và chiếm đoạt tài sản của họ.
Ledger cho biết, sau khi các kẻ phạm tội sửa đổi ví phần cứng chính hãng để đánh cắp tiền mã hóa, công ty đã siết chặt các quy tắc đối với nhà phân phối lại.
- Các thành phần ẩn sẽ thu thập cụm từ khôi phục ví trong quá trình thiết lập thiết bị và truyền tải thông tin nhạy cảm qua mạng di động.
- Ledger đã tạm dừng các khoản bán lại được ủy quyền ở Đông Nam Á và Hồng Kông trong khi điều tra các thiết bị bị ảnh hưởng.
- Đội an ninh đã kiểm tra thiết bị bán lẻ và kho hàng và cho biết không tìm thấy thiết bị nào bị ảnh hưởng trong các mẫu kiểm tra.
- Ledger đã yêu cầu các nhà bán lẻ ngừng trưng bày ví và cấm bán lại các thiết bị trả lại mà không có ngoại lệ.
Nhà sản xuất ví phần cứng này xác nhận rằng kẻ tấn công đã mua các thiết bị hợp pháp, sửa đổi chúng, sau đó tái đưa vào thị trường thông qua các kênh phân phối ở Đông Nam Á. Ledger đã tạm dừng việc bán lại tại khu vực này, kiểm tra các thiết bị từ các cửa hàng bán lẻ và kho hàng, và bắt đầu hợp tác với các cơ quan thực thi pháp luật để truy tìm số tiền bị đánh cắp.
Công ty cho biết hệ thống nội bộ, phần mềm vận hành và chip bảo mật của họ đều không bị xâm nhập. Các điều tra viên vẫn đang tiếp tục xác định phạm vi đầy đủ của cuộc tấn công, bao gồm cách những thiết bị bị thao túng này lọt vào thị trường.
Cuộc tấn công vào ví Ledger liên quan đến phần cài đặt ẩn của cụm từ khôi phục
Cuộc điều tra của Ledger phát hiện rằng kẻ tấn công đã chuẩn bị cho chiến dịch này trong vài tháng. Họ mua các ví phần cứng chính hãng, tháo rời thiết bị và lắp đặt các linh kiện điện tử tùy chỉnh để thu thập cụm từ khôi phục trong quá trình thiết lập.
Câu phục hồi thường gồm 24 từ, cho phép người dùng khôi phục quyền truy cập vào ví tiền điện tử. Bất kỳ ai có được những từ này đều có thể tạo lại ví trên thiết bị khác và chuyển tài sản của nó.
Kẻ tấn công khai thác khoảnh khắc cụm từ khôi phục xuất hiện trên màn hình thiết bị. Các thành phần ẩn thu thập những từ này và gửi chúng đến cơ sở hạ tầng do tội phạm kiểm soát.
Trong bản cập nhật kỹ thuật ngày 13 tháng 10, nhóm bảo mật Donjon của Ledger giải thích rằng phần mềm độc hại này sử dụng vi điều khiển để đọc cụm từ và truyền thông tin qua kết nối LTE thông qua thẻ SIM nhúng.
Công ty cho biết bộ cấy ghép này hoạt động độc lập với Secure Element bảo vệ thông tin mã hóa nhạy cảm. Các nhà điều tra không tìm thấy bằng chứng nào cho thấy các thành phần độc hại đã sửa đổi hệ điều hành hoặc thay đổi chữ ký giao dịch.
Trước đây, các cuộc điều tra về chip ẩn trong ví Ledger đã ghi lại cách các linh kiện điện tử không được ủy quyền có thể phơi bày cụm từ khôi phục mà không làm thay đổi chức năng ký bình thường của thiết bị.
Ledger mới nhất đã mô tả đây là một hành động phạm tội có tổ chức, liên quan đến việc mua thiết bị, sắp xếp phân phối và cơ sở hạ tầng dùng để thu thập thông tin xác thực ví bị đánh cắp.
Nhà sản xuất này cho biết nhóm này đã chi hàng triệu đô la cho cuộc tấn công, nhưng không cung cấp phân tích tài chính hay xác định bất kỳ cá nhân liên quan nào.
Theo báo cáo, kẻ tấn công đã sử dụng các cụm từ khôi phục thu thập được để truy cập vào nhiều ví trong một cuộc tấn công phối hợp vào ngày 9 tháng 10.
Mặc dù các nhà điều tra độc lập về blockchain ước tính tổn thất vượt quá 86 triệu USD, Ledger vẫn chưa xác minh tổng số tiền bị đánh cắp hoặc số lượng khách hàng bị ảnh hưởng.
Ledger tạm dừng bán ví tại khu vực Đông Nam Á
Sau khi phát hiện vấn đề, Ledger yêu cầu các nhà phân phối và đại lý được ủy quyền tại Đông Nam Á và Hồng Kông tạm dừng bán thiết bị cho đến khi các nhà điều tra kiểm tra các kênh phân phối bị ảnh hưởng.
Các khu vực bị hạn chế bao gồm Indonesia, Singapore, Thái Lan, Philippines, Việt Nam, Malaysia và Hồng Kông.
Một nhà bán lại ở Đông Nam Á, CryptoBilis, trước đây đã từng bị liên quan đến các vụ việc xác minh liên quan đến việc can thiệp thiết bị.
Sau khi có khách hàng báo cáo mất tiền, công ty đã tạm dừng bán ví phần cứng.
Các báo cáo trước đây về cuộc điều tra ví CryptoBilis đã ghi lại phát hiện của Ledger về phần mềm cài đặt trái phép và phản ứng ban đầu của họ đối với các khiếu nại của khách hàng.
Sau khi nhận được báo cáo liên quan đến các địa điểm khác, Ledger sau đó đã mở rộng các biện pháp phòng ngừa ra ngoài nhà bán lại này.
Tại Đức, MediaMarkt Saturn đã ngừng bán các thiết bị Ledger qua cửa hàng vật lý và nền tảng trực tuyến sau khi báo cáo một thiết bị của khách hàng chứa phần mềm độc hại.
Ledger cho biết vụ việc tại Đức không dẫn đến bất kỳ tổn thất nào về vốn khách hàng được xác nhận.
Sự kiện này đã dẫn đến việc tạm dừng riêng biệt việc bán ví Ledger tại Đức, đồng thời công ty đang tiến hành kiểm tra thiết bị và điều tra tình huống liên quan.
Trong bản cập nhật ngày 15 tháng 10, Ledger cho biết các điều tra viên đã mua thiết bị từ các cửa hàng tại các thị trường khác nhau, bao gồm Đức, và tháo rời để kiểm tra thực tế.
Công ty cũng đã kiểm tra các mẫu kho và sàng lọc một phần hàng tồn kho của chính mình.
Ledger cho biết, các mẫu được kiểm tra trong các đợt kiểm tra này không phát hiện thành phần nào không được ủy quyền.
Tuy nhiên, công ty chưa tiết lộ đã kiểm tra bao nhiêu thiết bị, do đó tổng số sản phẩm có thể bị ảnh hưởng vẫn chưa được xác nhận.
Ledger mô tả sự kiện này là "cuộc tấn công phân phối cục bộ" và khẳng định rằng hệ thống sản xuất của họ không phải là nguyên nhân gây tổn hại.
Khảo sát vẫn chưa xác định chính xác từng thiết bị bị ảnh hưởng đã được sửa đổi ở đâu.
Ledger ra mắt quy định mới cho các nhà bán lẻ ví phần cứng
Là một phần trong các biện pháp ứng phó, Ledger đã yêu cầu các nhà bán lẻ được ủy quyền thay đổi cách lưu trữ và bán ví phần cứng.
Các nhà bán lẻ phải ngừng việc trưng bày thiết bị Ledger trên kệ và quầy hàng. Thay vào đó, họ phải lưu trữ sản phẩm trong khu vực kho và chỉ giao cho khách hàng khi có giao dịch mua hàng.
The company stated that these requirements are effective immediately to reduce the opportunity for unauthorized access to devices.
Ledger cũng nhắc nhở các nhà phân phối được ủy quyền rằng các thiết bị trả lại tuyệt đối không được bán lại, ngay cả khi bao bì trông như chưa mở hoặc sản phẩm trông như chưa sử dụng.
Quy tắc này đã tồn tại từ trước, nhưng Ledger đã yêu cầu các nhà phân phối thực hiện nghiêm ngặt không có ngoại lệ.
Retailers must promptly notify the manufacturer when customers report abnormal products or suspicious hardware.
Trong khi cuộc điều tra tiếp tục, công ty đang tăng cường giám sát mạng lưới phân phối được ủy quyền.
Ledger cho biết, nhóm bảo mật của họ đã tiến hành cuộc điều tra nội bộ lớn nhất trong lịch sử công ty, huy động nhiều bộ phận.
Các chuyên gia từ Ledger Donjon đã phân tích chi tiết các thiết bị bị thu hồi và kiểm tra cách chúng hoạt động để xác định cách kẻ tấn công thu thập cụm từ khôi phục.
Nhà sản xuất đã hợp tác với các chuyên gia bảo mật và đối tác ngành trong suốt quá trình điều tra, bao gồm SEAL_911.
Ledger cho biết, nhóm đang hợp tác với các cơ quan thực thi pháp luật để theo dõi số tiền bị đánh cắp và xác định cơ sở hạ tầng được sử dụng để thu thập thông tin ví.
The company has not disclosed any related arrests, formal criminal charges, or recovery of funds.
Ledger cho biết, khi các điều tra viên có thể công bố kết quả một cách an toàn, công ty sẽ phát hành thêm thông tin kỹ thuật.
Ledger dự định tăng cường bảo vệ ví chống bị sửa đổi
Ngoài các hạn chế bán lẻ hiện tại, Ledger đang phát triển các biện pháp bảo mật sản phẩm bổ sung nhằm làm khó hơn việc can thiệp vật lý.
Công ty chưa cung cấp thông số kỹ thuật, các mô hình sản phẩm bị ảnh hưởng hoặc lịch trình triển khai các biện pháp bảo vệ này.
Ledger cho biết sẽ chia sẻ kết quả điều tra với các nhà sản xuất và nhà bán lẻ ví phần cứng khác để họ xem xét các rủi ro tương tự trong sản phẩm của mình.
Nhà sản xuất trước đây đã cảnh báo khách hàng mua thiết bị qua CryptoBilis không được khởi tạo thiết bị trước khi liên hệ với hỗ trợ chính thức.
Đối với khách hàng đã từng sử dụng ví có thể bị ảnh hưởng, công ty khuyến nghị chuyển tiền điện tử sang một thiết bị đáng tin cậy và tạo lại cụm từ khôi phục mới.
Nếu kẻ tấn công đã có được cụm từ khôi phục cũ, thì việc khôi phục cụm từ cũ trên thiết bị thay thế không đảm bảo an toàn cho tài sản.
Lời nhắc bảo mật của Ledger cảnh báo người dùng không bao giờ tiết lộ cụm khôi phục cho bất kỳ ai tuyên bố là đại diện bộ phận hỗ trợ khách hàng.
Công ty nhấn mạnh rằng nhân viên sẽ không yêu cầu từ khôi phục qua tin nhắn, điện thoại hoặc trang web.
Trong thông báo ngày 15 tháng 10, Ledger thừa nhận rằng cuộc điều tra vẫn đang diễn ra và vẫn còn một số công việc bảo mật cần hoàn thành.
The manufacturer reaffirmed that it will release further details about the attack and the methods used by the criminals once the investigation permits disclosure.