Ví Ledger bị thu hồi khỏi kệ hàng tại 7 thị trường châu Á vì chip gián điệp

Bảy thị trường ngừng hoạt động

Trong bản cập nhật sự cố được đăng vào ngày 13 tháng 10, nhà sản xuất ví phần cứng của Pháp cho biết:

[We are] yêu cầu các đại lý và nhà phân phối ở Đông Nam Á và Hồng Kông tạm dừng bán các thiết bị Ledger trong thời gian cuộc điều tra đang diễn ra. Điều này bao gồm việc thu hồi sản phẩm khỏi các kệ hàng.

Việc tạm dừng này bao gồm Indonesia, Singapore, Thái Lan, Philippines, Việt Nam, Malaysia và Hồng Kông. Đây là một sự mở rộng đáng kể so với phản ứng ban đầu, vốn chỉ nhắm vào một nhà bán lẻ duy nhất trong khu vực.

Ledger đã thận trọng trong việc giới hạn phạm vi thừa nhận của mình, lưu ý rằng khi cuộc điều tra tiến triển, các sự cố duy nhất được xác nhận vẫn chỉ giới hạn ở Đông Nam Á. Công ty cũng làm rõ thêm:

Chúng tôi chưa xác minh được trường hợp rò rỉ nào liên quan đến thiết bị được mua từ nơi khác. Không có dấu hiệu nào cho thấy cơ sở hạ tầng, hệ thống, dịch vụ hoặc kênh bán hàng trực tiếp của Ledger đã bị xâm phạm.

Cuối cùng, công ty cho biết Ledger Donjon, đội ngũ nghiên cứu bảo mật nội bộ của họ, sẽ phân tích các thiết bị nhận được để xác định ai đã can thiệp vào phần cứng và sự việc xảy ra ở đâu trong chuỗi phân phối.

Câu chuyện về chip gián điệp của Ledger bắt đầu như thế nào

Vụ việc bùng phát vào ngày 9/10, khi người dùng báo cáo tiền điện tử bị rút khỏi các ví mua qua Cryptobilis, một nhà phân phối hoạt động tại Đông Nam Á. Ledger đã yêu cầu Cryptobilis tạm dừng toàn bộ hoạt động bán hàng và vận chuyển, và thiệt hại ước tính lên tới $93,4 triệu.

Sau đó, vào ngày 10 tháng 10, Ledger xác nhận có một thiết bị cấy ghép phần cứng ẩn bên trong thiết bị của một người dùng bị ảnh hưởng. Thiết bị cấy ghép này có thể đọc cụm từ khôi phục gồm 24 từ được hiển thị trong quá trình thiết lập và truyền nó cho những kẻ tấn công qua mạng LTE bằng cách sử dụng eSIM.

Sự việc sau đó lan sang châu Âu và một người dùng cho biết anh đã phát hiện một thiết bị cấy ghép ẩn trong một chiếc Ledger mua tại cửa hàng Mediamarkt ở Đức, đồng thời cựu CEO của Mt. Gox, Mark Karpeles, lưu ý rằng ăng-ten trên thiết bị này được dán nhãn là "phiên bản Âu-Á". Vào ngày 13 tháng 10, Mediamarkt Saturn đã ngừng bán hoàn toàn các thiết bị Ledger, một động thái mà công ty cho biết họ ủng hộ, sau báo cáo về thiết bị cấy ghép từ một khách hàng tại Đức.

Ledger cho biết không có báo cáo nào về việc mất tiền trong trường hợp đó.

Các nhà cung cấp đối thủ cũng đã cảnh giác, với Trezor tuyên bố sẽ chấm dứt một số quan hệ đối tác với các nhà phân phối từ ngày 1 tháng 1 năm 2027, nhằm xây dựng một mạng lưới "đủ nhỏ để chúng tôi có thể kiểm tra và xác minh từng đối tác còn lại", ngay cả khi họ khẳng định không có bằng chứng nào cho thấy các thiết bị của chính họ đã bị xâm phạm.

Những điều người mua Ledger nên làm ngay bây giờ

Khách hàng đã mua sản phẩm từ Cryptobilis trong 90 ngày qua không nên thiết lập các thiết bị chưa sử dụng, và những ai đã thiết lập thì nên chuyển tiền sang một ví mới với cụm từ khôi phục mới. Người dùng có thắc mắc về bất kỳ thiết bị nào có thể liên hệ với Ledger qua kênh hỗ trợ chính thức của công ty.

Công ty cũng cảnh báo rằng những kẻ lừa đảo thường lợi dụng các sự cố như thế này và sau đó đã đăng cảnh báo sau:

"Ledger sẽ không bao giờ gọi điện, nhắn tin trực tiếp cho bạn hoặc yêu cầu cụm từ khôi phục 24 từ của bạn. Nhiều tuyên bố và con số đang lan truyền trên mạng đều chưa được xác minh."