Linh kiện cấy ghép trong Ledger làm dấy lên lo ngại về chuỗi cung ứng ví phần cứng

Đội ngũ bảo mật Donjon của Ledger phát hiện một thiết bị cấy ghép độc hại trong ví phần cứng do nhà bán lẻ CryptoBilis ở Đông Nam Á phân phối. Trong quá trình thiết lập, thiết bị này có thể thu thập cụm từ khôi phục gồm 24 từ của ví và gửi đi qua LTE bằng eSIM đã được cấp sẵn, khiến tài sản trong ví gặp rủi ro. Ledger xác nhận có một thiết bị bị ảnh hưởng và cho biết các tổn thất đã được xác minh cho đến nay đều liên quan đến ví do CryptoBilis bán. CryptoBilis đã ngừng bán thiết bị Ledger trong khi cuộc điều tra tiếp tục. Nhà điều tra on-chain Specter liên kết hơn 86 triệu USD với các vụ trộm bị nghi ngờ trên Bitcoin, Ethereum và Tron, nhưng Ledger cho biết những ước tính về thiệt hại trên mạng vẫn chưa được xác minh. Ledger khuyến cáo người mua không thiết lập các thiết bị đáng ngờ, đồng thời đề nghị bất kỳ ai đã sử dụng thiết bị như vậy chuyển tài sản sang thiết bị mới với cụm từ khôi phục mới. Sự cố ví phần cứng cũng làm dấy lên những lo ngại rộng hơn về chuỗi cung ứng. Nhà nghiên cứu bảo mật Joe Grand cảnh báo rằng các hành vi can thiệp vật lý tinh vi có thể khó bị phát hiện. Trezor cho biết các bước kiểm tra tính xác thực và chương trình cơ sở có chữ ký số có tác dụng hỗ trợ nhưng không thể loại trừ khả năng thiết bị bị sửa đổi; hãng dự định thu hẹp mạng lưới đại lý. Các chuyên gia khuyến nghị phân tán mức độ tin cậy giữa nhiều nhà cung cấp và cải thiện thiết kế chống can thiệp, đồng thời nhấn mạnh rằng không biện pháp nào loại bỏ được mọi rủi ro. Ledger cho biết thiết bị cấy ghép không làm thay đổi Secure Element, hệ điều hành hay chữ ký giao dịch của hãng. Sự cố nêu bật những rủi ro bảo mật liên quan đến ví phần cứng và cụm từ khôi phục, nhưng không cho thấy mạng Bitcoin đang gặp vấn đề rộng hơn.