Ledger dừng bán ví phần cứng tại 7 thị trường châu Á do thiết bị bị cài linh kiện trái phép, nghi gây thất thoát 86 triệu USD.
Ledger đã yêu cầu các đại lý và nhà phân phối tại Đông Nam Á và Hồng Kông ngừng bán ví phần cứng của hãng, đồng thời thu hồi sản phẩm khỏi kệ hàng trong thời gian điều tra các thiết bị bị cài cắm linh kiện trái phép. Thông tin được công ty công bố trên mạng xã hội X hôm thứ Ba. Lệnh ngừng bán áp dụng tại 7 thị trường gồm Indonesia, Singapore, Thái Lan, Philippines, Việt Nam, Malaysia và Hồng Kông.
Theo Ledger, các vụ việc được xác nhận đến nay chỉ giới hạn tại Đông Nam Á. Công ty chưa xác minh được trường hợp thất thoát tài sản nào liên quan đến thiết bị mua tại các khu vực khác. Trước đó, Ledger cho biết mọi trường hợp tổn thất đã xác nhận đều liên quan đến thiết bị bán qua CryptoBilis, một đại lý phân phối trong khu vực.
Nhóm nghiên cứu bảo mật Donjon của Ledger phát hiện linh kiện cài cắm trái phép có khả năng đọc cụm từ khôi phục gồm 24 từ hiển thị trên màn hình trong quá trình thiết lập ban đầu. Thông tin này sau đó được truyền ra ngoài qua kết nối di động LTE. Bất kỳ ai nắm được cụm từ khôi phục đều có thể khôi phục ví và chuyển toàn bộ tài sản đi nơi khác. Nhà điều tra giao dịch trên chuỗi (on-chain) Specter đã truy vết các vụ nghi đánh cắp với tổng giá trị hơn 86 triệu USD. Tuy nhiên, Ledger cho biết chưa xác minh được con số này.
Lỗ hổng nằm ở chuỗi phân phối
Vụ việc cho thấy rủi ro đối với ví phần cứng không chỉ đến từ phần mềm hay hạ tầng của nhà sản xuất, mà còn từ khâu thiết bị đến tay người dùng. Ledger vẫn đang điều tra để xác định ai đã can thiệp vào thiết bị và hành vi này xảy ra ở khâu nào trong chuỗi phân phối. Công ty khẳng định hiện không có dấu hiệu cho thấy hạ tầng, hệ thống, dịch vụ hay kênh bán hàng trực tiếp của hãng bị xâm phạm.
Tác động của vụ việc đã lan sang châu Âu. Cũng trong ngày thứ Ba, chuỗi bán lẻ thiết bị điện tử MediaMarkt Saturn đã ngừng bán sản phẩm Ledger tại cửa hàng và trên các kênh trực tuyến, với sự đồng thuận của Ledger. Quyết định được đưa ra sau khi một khách hàng tại Đức báo cáo phát hiện linh kiện cài cắm trái phép bên trong thiết bị. Ledger công bố thông tin này trong một bài đăng riêng trên X. Đến nay chưa ghi nhận thất thoát tài sản nào trong trường hợp này.
Đối thủ cạnh tranh của Ledger cũng có phản ứng nhanh chóng. Hôm thứ Ba, nhà sản xuất ví phần cứng Trezor thông báo sẽ chấm dứt cấp quyền phân phối cho các đại lý bán lại kể từ ngày 1/1/2027. Trezor gọi đây là “biện pháp phòng ngừa” và khẳng định hiện không có bằng chứng cho thấy thiết bị của hãng bị xâm phạm.
Diễn biến này đặt ra câu hỏi lớn về mô hình phân phối ví phần cứng qua bên thứ ba. Mô hình này giúp nhà sản xuất mở rộng thị trường nhanh chóng, nhưng cũng tạo thêm điểm yếu mà kẻ tấn công có thể khai thác. Với người dùng tại các thị trường bị ảnh hưởng, trong đó có Việt Nam, nguồn gốc mua thiết bị đang trở thành yếu tố bảo mật quan trọng không kém bản thân công nghệ của ví.
