Mã cấy ghép trên Ledger làm lộ cụm từ khôi phục trong cuộc tấn công chuỗi cung ứng

Ledger đã siết chặt quy định dành cho các nhà bán lại sau khi xác nhận một số ví phần cứng chính hãng do nhà bán lại CryptoBilis ở Đông Nam Á bán ra có chứa thiết bị cấy ghép phần cứng trái phép. Trong quá trình thiết lập, thiết bị này ghi lại cụm từ khôi phục gồm 24 từ của người dùng trên màn hình thiết bị rồi gửi chúng qua mạng di động. Nó không xâm phạm Secure Element, hệ điều hành hay quy trình ký giao dịch của Ledger, vì vậy các thiết bị bị ảnh hưởng vẫn có thể vượt qua các bước kiểm tra tính xác thực. Ledger cho biết mọi tổn thất đã xác nhận đều liên quan đến thiết bị CryptoBilis và hãng không tìm thấy bằng chứng bị can thiệp trong kênh bán hàng trực tiếp của mình. Các nhà nghiên cứu trên chuỗi ước tính hơn 300 ví đã mất từ 86 đến 93 triệu USD, nhưng Ledger chưa xác minh các con số này hoặc xác nhận tổng thiệt hại của khách hàng. Theo các báo cáo, Tether đã đóng băng khoảng 10 triệu USDT. Sau khi một khách hàng báo cáo phát hiện thiết bị cấy ghép ở Đức, nhà bán lẻ MediaMarkt Saturn tạm dừng bán Ledger; Ledger cho biết các đợt kiểm tra hàng tồn kho tại Đức và mẫu hàng trong kho không phát hiện thêm trường hợp can thiệp nào. Ngày 15 tháng 10 năm 2026, Ledger yêu cầu các nhà bán lẻ được ủy quyền không trưng bày công khai thiết bị mới, ngừng bán lại ví đã bị trả hàng và tạm dừng bán hàng tại Indonesia, Singapore, Thái Lan, Philippines, Việt Nam, Malaysia và Hồng Kông. CryptoBilis đã được yêu cầu ngừng bán và giao hàng từ ngày 9 tháng 10. Người mua đã khởi tạo thiết bị CryptoBilis nên xem cụm từ khôi phục của mình là đã bị lộ và chuyển tài sản sang ví mới với cụm từ mới. Người chưa khởi tạo thiết bị nên để nguyên, không sử dụng và liên hệ bộ phận hỗ trợ của Ledger. Vụ cấy ghép của Ledger cho thấy những rủi ro trong chuỗi cung ứng ví phần cứng; dùng chữ ký đa chữ ký với thiết bị từ các nhà sản xuất khác nhau có thể giảm mức độ phụ thuộc vào một thiết bị duy nhất, nhưng không thể loại bỏ rủi ro bảo mật.