Trezor xác nhận gián điệp cài trong 3 ví cứng, cắt 80% đại lý

Trezor công bố chi tiết về các thay đổi liên quan đến phần mềm và đại lý phân phối

Nhà sản xuất ví phần cứng Trezor cho biết vào ngày 12 tháng 11 rằng ba thiết bị Safe 5 được mua từ CryptoBilis, một nhà phân phối ủy quyền trước đây tại Đông Nam Á, chứa các phần mềm cấy ghép trái phép. Bài đăng trên blog về cuộc điều tra đã nêu chi tiết về bản cập nhật phần mềm và các biện pháp kiểm soát phân phối nghiêm ngặt hơn. Phiên bản 2.13.1, phát hành vào ngày 11 tháng 11, ngăn chặn các mô-đun phần cứng đã được xác định thu thập thông tin bằng cách cập nhật phần mềm điều khiển thiết bị, công ty cho biết.

Cả ba thiết bị bị ảnh hưởng đều được mua trong khoảng thời gian từ ngày 20 tháng 8 đến ngày 23 tháng 9 thông qua CryptoBilis trực tiếp hoặc qua các cửa hàng Tokopedia và Shopee của họ. Trezor đã kiểm tra mô-đun cài đặt trái phép đầu tiên trên Safe 5 được báo cáo tại phòng thí nghiệm của mình và xác định thêm hai trường hợp khác thông qua hình ảnh do chủ sở hữu cung cấp. Có 48 khách hàng đã liên hệ với công ty, và công ty đang kiểm tra các thiết bị của họ tại phòng thí nghiệm hoặc thông qua hình ảnh do chính họ cung cấp.

Công ty tuyên bố:

“Chúng tôi đã cắt giảm mạng lưới đại lý phân phối khoảng 80%.”

Kế hoạch cắt giảm đại lý của họ đã được công bố vào tháng 10, và hiện Trezor mô tả các đối tác bị loại bỏ là đáng tin cậy và không gây ra mối đe dọa tức thời. Các đại lý còn lại phải đáp ứng các yêu cầu nghiêm ngặt hơn về nguồn cung ứng, lưu trữ và quyền truy cập vào thiết bị.

Các bo mạch ẩn đã đánh cắp thông tin bí mật của ví

Bên trong Safe 5, thiết bị cấy ghép trái phép nằm giữa màn hình và bo mạch chính – bo mạch điện tử chính kết nối các linh kiện điện tử của thiết bị. Theo phân tích của Trezor, thiết bị này sao chép thông tin hiển thị mà không thay đổi phần mềm cơ sở (firmware) hay Secure Element – một chip bảo mật chuyên dụng. Bảng mạch được thêm vào ghi lại các từ khôi phục trong quá trình tạo hoặc khôi phục ví, cùng với các cụm mật khẩu hiển thị – đây là các thông tin bí mật bổ sung tùy chọn dùng để truy cập các ví riêng biệt.

Thiết bị cấy ghép này mã hóa dữ liệu thu thập được và gửi qua mạng di động đến máy chủ do các kẻ tấn công điều hành. Nếu không có tín hiệu, nó sẽ lưu trữ dữ liệu và tiếp tục thử lại cho đến khi quá trình truyền tải hoàn tất. Trezor cho biết thiết bị cấy ghép này hoạt động theo cách tương tự như những thiết bị được phát hiện trong một số thiết bị Ledger. Trong trường hợp của Ledger, những kẻ tấn công đã mua các thiết bị chính hãng, sửa đổi chúng và đưa chúng trở lại thị trường thông qua các nhà phân phối tại Đông Nam Á.

Ledger đã xác nhận sự tồn tại của một thiết bị cấy ghép phần cứng trái phép trong ví của một khách hàng bị ảnh hưởng vào tháng 10. Phát hiện của Trezor vẫn chỉ giới hạn ở các thiết bị Safe 5 được mua từ CryptoBilis. Việc kiểm tra các thiết bị của các nhà phân phối khác trong khu vực không phát hiện dấu hiệu can thiệp, và công ty cũng không báo cáo có thiết bị cấy ghép nào được xác nhận trên các mẫu khác.

Người mua từ CryptoBilis vẫn cần tạo ví mới

Mặc dù bản cập nhật ngăn chặn việc bị các mô-đun cấy ghép đã xác định chiếm quyền kiểm soát, các bản sao lưu ví đã bị lộ trước đó vẫn bị xâm phạm. Trezor tiếp tục khuyến cáo người mua từ CryptoBilis chuyển tiền sang các ví mới được tạo, vì việc thay thế phần cứng trong khi vẫn sử dụng cùng một cụm từ khôi phục sẽ khiến lỗ hổng đó vẫn tồn tại. Chủ sở hữu các thiết bị nghi ngờ bị can thiệp được hướng dẫn giữ lại thiết bị và tránh thiết lập hoặc sử dụng cho đến khi có hướng dẫn hỗ trợ.

Điều kiện đổi trả áp dụng cho mọi mẫu thiết bị mua từ CryptoBilis kể từ tháng 3 trở đi. Các hạn chế về vận chuyển có thể yêu cầu đổi sang mẫu khác kèm hoàn lại chênh lệch giá, giao hàng đến quốc gia khác hoặc hoàn tiền. Khách hàng được yêu cầu liên hệ với bộ phận Hỗ trợ chính thức của Trezor để sắp xếp việc đổi trả, đồng thời những người mua còn băn khoăn cũng được khuyến khích xác minh nguồn gốc thiết bị của mình.

Trezor cảnh báo rằng những kẻ lừa đảo có thể mạo danh nhân viên để đề nghị thay thế hoặc hoàn tiền, đồng thời nhắc lại rằng công ty không bao giờ yêu cầu cung cấp cụm từ khôi phục. Công ty tiếp tục hợp tác với SEAL 911, dịch vụ ứng phó khẩn cấp của Security Alliance dành cho các sự cố liên quan đến tiền điện tử. Công ty cũng cam kết trao thưởng cho khách hàng đầu tiên báo cáo về thiết bị bị cài đặt phần mềm độc hại này.