Khoảng 91 triệu USD đã bị rút sạch trong một lần. 203 BTC đã được chuyển vào hai địa chỉ trong cùng một khối, và trong cùng giờ đó, khoảng 58 triệu USD USDT trên chuỗi Tron cũng đã bị di chuyển. Số tiền này đến từ một loạt ví phần cứng Ledger, và mật khẩu phục hồi đã được gửi đi ngay từ ngày người dùng bật thiết bị lên. Ai đó đã tháo rời một chiếc Ledger mua từ Malaysia, và dưới màn hình là một bo mạch nhỏ gắn eSIM. @MagicalTux đã đăng ảnh tháo rời vào ngày 8 tháng 10. Bo mạch này được hàn thêm module LTE, bình thường không làm gì cả, chỉ im lặng theo dõi màn hình. Khi bạn bật thiết bị, kích hoạt và ghi chép từng từ trong 24 từ mật khẩu, các từ này đã được gửi đi qua mạng di động. Ledger Live không thể phát hiện ra sự bất thường vì chip Ledger trong máy là thật, còn cái xấu nằm dưới màn hình. Tôi đã phóng to những bức ảnh này rất lâu — các mối hàn đều rất chuẩn chỉnh, không giống hàng làm thủ công. Ở Malaysia có một cửa hàng bán ví phần cứng tên CryptoBilis. Trên trang web chính thức của Ledger, ít nhất từ năm 2022, họ đã liệt kê CryptoBilis là nhà phân phối được ủy quyền tại Malaysia, Indonesia và Philippines — một cửa hàng chính thống, bán hàng thật, kinh doanh nghiêm túc trong nhiều năm. Nhưng vào tháng 3 năm nay, đội ngũ sáng lập đã bán toàn bộ công ty. Giao dịch đi kèm một thỏa thuận bảo mật, theo đó các cổ đông cũ không được phép công khai việc chuyển nhượng trước ngày 19 tháng 10. Đến tháng 8 năm nay, hồ sơ đăng ký doanh nghiệp chỉ còn lại một người sở hữu 100%, tên Jiaming, địa chỉ đăng ký ở Hắc Long Giang. Cửa hàng vẫn mở, website vẫn giữ nguyên, tên miền không đổi, tấm biển “Được ủy quyền bởi Ledger” vẫn treo nguyên vị trí. Cố đồng sáng lập sau này cho biết, đội ngũ cũ thậm chí còn không thể truy cập vào hệ thống quản lý backend của công ty. Sau đó là bài đăng tháo rời thiết bị vào ngày 8 tháng 10, thu hút 120.000 lượt xem. 22 giờ sau khi bài đăng được đăng tải, những người nắm giữ các từ mật khẩu đã thu về toàn bộ số tiền. Khoảng 7 giờ sau khi chuyển tiền, Ledger mới tuyên bố đang điều tra và yêu cầu CryptoBilis tạm dừng bán hàng và giao hàng. Hôm qua, Ledger xác nhận rằng thiết bị của người dùng bị hại thực sự có phần cứng trái phép được cài đặt. Cho đến nay, chưa ai chính thức nối kết giữa cổ đông mới và những thiết bị bị can thiệp, và Ledger cũng chưa tiết lộ những bo mạch này đã lọt vào thiết bị như thế nào. Nhưng con đường này đã rõ ràng: không cần phá vỡ chip bảo mật, cũng không cần xâm nhập firmware — chỉ cần mua lại một thương hiệu đã được ủy quyền, lợi dụng danh tiếng tích lũy trong ba năm của người khác để giao hàng, thiết bị tự động gọi điện ra ngoài, và khi bài đăng tháo máy xuất hiện, tất cả tiền được rút sạch cùng lúc. Tấm biển “Nhà phân phối được ủy quyền” lúc trước là dành cho đội ngũ đã mở cửa hàng năm 2022. Công ty đã đổi chủ vào tháng 3, nhưng tấm biển vẫn treo nguyên vị trí — đến hôm nay, chưa ai kiểm tra lại xem chủ mới là ai.