Cảnh báo của Trezor Wallet làm nổi bật các rủi ro trong chuỗi cung ứng

Trezor cảnh báo khách hàng về một thiết bị cấy phần cứng bị nghi ngờ trong chiếc Safe 5 mua qua nhà bán lại CryptoBilis, đơn vị đã bị loại khỏi mạng lưới được ủy quyền của hãng vào ngày 9 tháng 10. Một người mua cho biết đã phát hiện thêm một bo mạch, nhưng tính đến ngày 30 tháng 10, Trezor vẫn chưa nhận được thiết bị để kiểm tra trong phòng thí nghiệm. Công ty cho biết chưa nhận được báo cáo nào về thiệt hại của khách hàng. Khách hàng đủ điều kiện đã mua thiết bị do CryptoBilis cung cấp kể từ tháng 3 năm 2026 có thể yêu cầu đổi thiết bị hoặc nhận phiếu mua hàng. Trezor khuyên chủ sở hữu bị ảnh hưởng tạo ví bằng cụm từ khôi phục mới rồi chuyển tiền sang đó; khôi phục bằng cụm từ cũ sẽ không bảo vệ được tài sản nếu cụm từ này đã bị lộ. Công ty cũng cảnh báo khách hàng đề phòng các nỗ lực lừa đảo qua mạng và cho biết bốn thiết bị khác được trả lại không có dấu hiệu bị can thiệp. Cảnh báo này một lần nữa thu hút sự chú ý đến vấn đề bảo mật chuỗi cung ứng của ví phần cứng. Trezor cho biết thiết bị cấy bị nghi ngờ có vẻ giống thiết bị trong một vụ việc riêng liên quan đến Ledger, nhưng hiện không có bằng chứng công khai cho thấy hai vụ việc hoặc thủ phạm có liên quan với nhau. Ledger xác nhận có thiết bị cấy trong một thiết bị bị ảnh hưởng, có khả năng thu thập cụm từ khôi phục gồm 24 từ thông qua kết nối màn hình mà không làm gián đoạn chip bảo mật, hệ điều hành hoặc các chức năng ký thông thường. Các nhà nghiên cứu đưa ra những ước tính có phần trùng lặp về thiệt hại liên quan đến cuộc điều tra Ledger: ngày 29 tháng 10, Arkham truy vết 95,35 triệu USD qua 1.486 địa chỉ; còn ngày 16 tháng 10, Bitquery ghi nhận 102 triệu USD trên 335 ví và sáu blockchain. Đây là các ước tính riêng biệt, không được cộng lại và chưa phải số liệu cuối cùng do nhà sản xuất xác nhận. Chưa có thiệt hại nào được xác nhận trong vụ Trezor. Các vụ việc cho thấy việc xác minh chip bảo mật không đồng nghĩa với việc kiểm tra toàn bộ ví để phát hiện linh kiện được gắn thêm.