Ledger: Chip gián điệp trong ví CryptoBilis gửi khóa qua mạng di động
Ledger cho biết phần cứng bí mật bên trong các thiết bị do CryptoBilis bán đã đọc cụm từ khôi phục từ màn hình và gửi chúng cho kẻ tấn công qua LTE. Hãng gọi các vụ trộm là một cuộc tấn công chuỗi cung ứng vật lý, không phải một vụ xâm phạm phần mềm.
Theo Ledger, một chip cài cắm bí mật trong một số thiết bị Ledger do CryptoBilis bán đã lấy cụm từ khôi phục 24 từ của người dùng khỏi màn hình và truyền chúng qua mạng di động. Hơn 300 ví có thể đã mất tới 93.2 triệu USD, theo các nhà nghiên cứu onchain.
Theo Ledger, các thiết bị Ledger do CryptoBilis bán có một thứ thêm vào đáng sợ: một chip bí mật theo dõi màn hình và mách cụm từ khôi phục của bạn. Công ty đưa ra lời giải thích công khai đầu tiên vào thứ Ba trên X.
Điệp viên bên trong hộp
Ledger cho biết chip cài cắm nằm bên trong vỏ thiết bị. Khi người dùng khởi tạo thiết bị ký và cụm từ khôi phục hiện lên màn hình, vi điều khiển của chip đã nhận diện và giải mã các từ, rồi truyền chúng qua LTE bằng eSIM. Cụm từ khôi phục là chìa khóa chính của ví crypto. Bất kỳ ai có nó đều có thể tạo lại ví ở nơi khác và chuyển tiền mà không cần thiết bị Ledger vật lý.
Ledger cho biết chip cài cắm không sửa đổi secure element của thiết bị, hệ điều hành, giao dịch hay chữ ký. Hãng gọi các vụ trộm là một cuộc tấn công chuỗi cung ứng vật lý chứ không phải một vụ xâm phạm phần mềm hay hệ thống nội bộ của Ledger.
Thiệt hại
Ledger cho biết họ đã xác nhận một thiết bị ký bị ảnh hưởng có chứa chip cài cắm trái phép và rằng mọi tổn thất được xác nhận trong vụ việc ngày 9 tháng 10 đều liên quan đến một thiết bị do CryptoBilis bán. Hãng chưa xác nhận tổng số nạn nhân hay giá trị bị đánh cắp. Các nhà nghiên cứu onchain ước tính thiệt hại lên tới 93.2 triệu USD trên hơn 300 ví. Tether đã đóng băng 10 triệu USD USDT của mình liên quan đến vụ trộm. CryptoBilis đã ngừng bán thiết bị ký Ledger, theo Ledger.
Điều cần rút ra: Ledger cho biết khách hàng đã mua từ CryptoBilis không nên khởi tạo thiết bị. Nếu bạn đã dùng một chiếc, hãy chuyển tài sản sang thiết bị mới với cụm từ khôi phục mới được tạo.
Bản tóm tắt do Oh Cannot viết từ bài gốc của CoinDesk. Không phải lời khuyên tài chính. Dịch từ tiếng Anh bằng AI. Đọc bản tiếng Anh.
