Ledger yêu cầu dừng phân phối thiết bị
Ledger đã xác nhận điều tra các phản ánh mất tài sản, nhưng chưa xác nhận quy mô thiệt hại đang được lan truyền. Trong thông báo ngày 9/10, hãng cho biết vụ việc liên quan đến khách hàng tại Đông Nam Á mua thiết bị thông qua CryptoBilis. Để phòng ngừa rủi ro trong thời gian điều tra, Ledger yêu cầu đơn vị này tạm dừng bán và giao thiết bị.
“Để phòng ngừa và trong khi chờ kết quả điều tra, chúng tôi đã yêu cầu CryptoBilis tạm dừng toàn bộ hoạt động bán và giao các thiết bị Ledger”, tài khoản hỗ trợ của hãng thông báo. Với khách hàng mua thiết bị từ nhà bán lại này trong 90 ngày gần nhất nhưng chưa thiết lập ví, Ledger khuyến cáo không bắt đầu quá trình thiết lập. Người đã kích hoạt thiết bị được đề nghị cân nhắc chuyển tài sản sang thiết bị Ledger mới.
Thành lập năm 2014 và có trụ sở tại Paris, Ledger là một trong những nhà sản xuất ví phần cứng lớn trên thị trường tài sản mã hóa. Theo thông tin từ Coindesk, doanh nghiệp cho biết đã bán hơn 7 triệu thiết bị trên toàn cầu. Ví phần cứng, thường gọi là ví lạnh, giữ khóa riêng trong thiết bị để hạn chế việc thông tin bí mật này tiếp xúc với môi trường trực tuyến. Khóa riêng cho phép xác nhận quyền kiểm soát và chuyển tài sản; Bitcoin hoặc token vẫn được ghi nhận trên blockchain, không nằm vật lý trong thiết bị.
Trong một cuộc phỏng vấn mới nhất, Ledger cho biết thông tin hiện có khoanh vùng sự cố tại nhà phân phối tại ở Đông Nam Á. “Không có phản ánh nào liên quan đến sản phẩm được mua trực tiếp từ Ledger, và hạ tầng, hệ thống, dịch vụ của Ledger không bị xâm phạm”, hãng nói.
Thiệt hại 86 triệu USD chưa được xác nhận
Ước tính hơn 86 triệu USD xuất phát từ phân tích của Specter, một nhà điều tra sử dụng biệt danh, chứ không phải báo cáo thiệt hại chính thức của Ledger. Theo The Crypto Times, sau khi xem phản ánh của người dùng trên X và Reddit, Specter công bố 10 địa chỉ trên các mạng Bitcoin, Ethereum và TRON được cho là liên quan đến hoạt động đánh cắp. Nhà điều tra này nói các địa chỉ đã nhận tài sản từ hàng trăm ví, nhưng số ví thực sự bị ảnh hưởng vẫn chưa rõ.
Trong khi đó, một nhà phân tích khác, Tanuki42, đưa ra mức ước tính hơn 72 triệu USD và kêu gọi những người có tài sản chuyển tới một số địa chỉ trùng với danh sách liên hệ nhóm ứng phó an ninh SEAL 911.
Khả năng phong tỏa hoặc thu hồi tiền cũng chưa được làm rõ. Một người dùng X cho biết địa chỉ TRON trong danh sách đã được đưa vào danh sách chặn USDT của Tether, nhưng theo người này, địa chỉ không có USDT khi lệnh được thực thi.
Có thể thấy, dữ liệu blockchain hỗ trợ theo dõi đường đi của tài sản, nhưng số dư ví, tổng tiền nhận và thiệt hại của người dùng là những chỉ tiêu khác nhau. Muốn xác định tổn thất cần đối chiếu giao dịch, loại trừ trùng lặp và làm rõ khoản chuyển nào thực sự không được chủ ví cho phép.
Nguyên nhân của vụ việc
Nguyên nhân mất tiền vẫn là câu hỏi lớn nhất của cuộc điều tra. Phản hồi thông báo của Ledger ngày 9/10, nhà sáng lập Binance Changpeng Zhao, thường gọi là CZ, nhận định: “Dựa trên thông tin hiện có, vụ việc có vẻ giới hạn ở một cuộc tấn công chuỗi cung ứng liên quan đến một cơ sở bán hàng”.
Tấn công chuỗi cung ứng là việc kẻ xấu can thiệp vào một khâu sản xuất, phân phối hoặc cung cấp sản phẩm trước khi người dùng sử dụng. Với ví phần cứng, các chuyên gia tại CoinDesk nêu một kịch bản có thể xảy ra là thiết bị hoặc bộ sản phẩm đi kèm chứa sẵn "cụm từ khôi phục" mà kẻ tấn công biết.
"Cụm từ khôi phục" là chuỗi ký tự cho phép khôi phục quyền kiểm soát ví. Nếu người mua sử dụng một cụm từ đã bị người khác biết, tài sản có thể gặp rủi ro dù thiết bị vẫn nằm trong tay họ. Tuy nhiên, chưa có xác nhận kịch bản này là nguyên nhân của các khoản mất tiền đang được điều tra.
Những ý kiến khác trên mạng xã hội đề cập đến ứng dụng giả, quảng cáo giả mạo hoặc hành vi lừa người dùng tiết lộ thông tin bí mật. Các khả năng này chưa được kiểm chứng đối với vụ việc cụ thể. Tương tự, chưa có cơ sở để khẳng định Ledger tồn tại lỗ hổng zero-day — lỗ hổng chưa được biết hoặc chưa có bản vá tại thời điểm bị khai thác.
Ledger cho biết sẽ cập nhật thêm thông tin khi quá trình điều tra có thêm tiến triển mới. Các vấn đề chưa được xác nhận gồm tổng thiệt hại, số khách hàng bị ảnh hưởng, mối liên hệ giữa các phản ánh và khả năng thiết bị bị can thiệp.