Một chip phần mềm gián điệp trong ví Ledger được báo cáo là câu chuyện khiến ngay cả những người nắm giữ tiền mã hóa thận trọng cũng phải dừng lại. Theo đưa tin về bản tin Risky Bulletin và các bài báo tiếp theo, một thiết bị cấy ghép phần cứng bí mật đã được tìm thấy trong các thiết bị Ledger, biến một sản phẩm được bán như công cụ bảo mật thành một kênh giám sát tiềm tàng. Cùng bản tin đó cũng nêu bật một cuộc tấn công mạng vào siêu thị và một nỗ lực của châu Âu nhằm buộc kính thông minh phát tiếng bíp khi ghi âm. Cùng lại, những mục này cho thấy phần lớn quyền riêng tư hiện đại phụ thuộc vào việc tin tưởng phần cứng xung quanh chúng ta đến mức nào.

Một lưu ý về nguồn tin: bản thân mục bản tin là một tóm tắt ngắn. Các chi tiết dưới đây đến từ thông tin đưa tin có sẵn vào thời điểm viết bài, và một số con số có thể thay đổi khi cuộc điều tra tiếp tục.

Những gì được tìm thấy bên trong ví Ledger

Theo các báo cáo đã công bố, Ledger cho biết phần cứng bí mật đã được cấy ghép vào các ví được bán bởi một nhà bán lẻ tên là CryptoBilis. Thiết bị cấy ghép được cho là đã đọc cụm từ khôi phục của người dùng từ màn hình thiết bị và truyền chúng qua mạng di động. Các báo cáo ước tính thiệt hại vào khoảng 90 triệu đến 93 triệu USD, dù con số chính xác khác nhau tùy theo nguồn tin.

Hai chi tiết quan trọng ở đây. Thứ nhất, vấn đề được báo cáo không phải là lỗi trong thiết kế cốt lõi của ví. Đó là việc can thiệp vào các đơn vị cụ thể đã đến tay người mua thông qua một nhà bán lẻ. Thứ hai, cụm từ khôi phục là chìa khóa chính của ví. Bất kỳ ai nắm được nó đều có thể chuyển tiền mà không cần chạm vào thiết bị gốc.

Ledger được cho là đang xem xét cách thiết bị của mình đến tay người mua. Các câu hỏi về số lượng đơn vị bị ảnh hưởng và cách các thiết bị cấy ghép được thêm vào vẫn đang được làm rõ trong các báo cáo công khai.

Vì sao can thiệp chuỗi cung ứng phần cứng làm suy yếu niềm tin

Hầu hết mọi người nghĩ về bảo mật như một việc xảy ra sau khi bạn bật thiết bị lên: mật khẩu mạnh, cập nhật, mã hóa. Can thiệp chuỗi cung ứng tấn công vào bước sớm hơn. Nếu một thiết bị bị thay đổi trước khi đến tay bạn, các biện pháp bảo vệ phần mềm có thể bị vượt qua hoặc bị theo dõi từ bên trong.

Ví phần cứng được xây dựng quanh một lời hứa đơn giản: khóa của bạn không bao giờ rời khỏi thiết bị. Điều đó khiến nó trở thành mục tiêu có giá trị cao. Một thiết bị cấy ghép chỉ đơn giản quan sát màn hình và chuyển tiếp những gì nó thấy không cần phá vỡ bất kỳ mã hóa nào. Nó chỉ cần nằm giữa thiết bị và người dùng.

Đây cũng là lý do câu chuyện này có liên quan ngoài lĩnh vực tiền mã hóa. Router, điện thoại, khóa bảo mật và bất kỳ tiện ích nào khác quan trọng với quyền riêng tư đều phụ thuộc vào cùng một giả định: rằng thứ trong hộp là thứ mà nhà sản xuất đã gửi đi. Khi chuỗi đó bị phá vỡ, người mua thường không có cách rõ ràng để nhận ra. Sự cố này là lời nhắc rằng niềm tin vào một thiết bị bao gồm niềm tin vào tất cả những ai đã xử lý nó. Một chủ đề tương tự về các công cụ hành xử theo cách mà chủ sở hữu không mong muốn xuất hiện trong bài viết của chúng tôi về sự cố tác nhân AI thứ tư của Anthropic, dù trường hợp đó liên quan đến phần mềm chứ không phải phần cứng.

EU muốn kính thông minh làm gì

Cùng số Risky Bulletin đó cũng lưu ý rằng EU muốn kính thông minh phát tiếng bíp lớn khi chúng ghi âm. Ý tưởng rất đơn giản: nếu một camera đeo được có thể ghi lại hình ảnh mọi người mà họ không biết, những người xung quanh nên nhận được tín hiệu rõ ràng.

Bản tóm tắt không nêu rõ cơ chế pháp lý hay thời gian, nên tốt nhất hiện tại hãy coi đây là một đề xuất. Tuy nhiên, nó liên quan đến câu chuyện Ledger. Trong cả hai trường hợp, mối lo là việc ghi nhận bí mật: một con chip lặng lẽ quan sát màn hình, hoặc một camera lặng lẽ quan sát căn phòng. Các nhà quản lý và nhà nghiên cứu bảo mật đang hội tụ về cùng một nguyên tắc, rằng việc thu thập dữ liệu ẩn nên được làm cho minh bạch hoặc bị ngăn chặn ngay từ thiết kế.

Bản tin cũng đề cập một cuộc tấn công mạng đã làm rã đông tủ lạnh siêu thị và khiến các cửa hàng Ahold Delhaize ngoại tuyến ở một số nơi. Đó là một sự cố riêng, nhưng nó nhấn mạnh rằng các thất bại kỹ thuật số có thể gây ra hậu quả rất vật lý.

Cách người dùng quan tâm quyền riêng tư có thể giảm rủi ro thiết bị

Bạn không thể kiểm tra từng con chip trong mọi thiết bị, nhưng bạn có thể giảm mức độ phơi nhiễm của mình.

  • Mua từ nhà sản xuất hoặc người bán được ủy quyền. Các kênh bán lẻ thêm những bước xử lý mà bạn không thể thấy. Hãy kiểm tra danh sách người bán được ủy quyền của nhà sản xuất trước khi mua.
  • Kiểm tra bao bì. Tìm dấu niêm phong bị vỡ, dấu hiệu dán lại, hoặc bất cứ điều gì trông bất thường. Tuy nhiên, đừng chỉ dựa vào bao bì.
  • Không bao giờ dùng cụm từ khôi phục được đặt sẵn. Nếu một thiết bị đến với cụm từ đã được viết sẵn, hãy ngừng sử dụng nó. Luôn tự tạo cụm từ của bạn trên thiết bị.
  • Chạy kiểm tra tính xác thực của nhà sản xuất. Các nhà sản xuất ví phần cứng thường cung cấp cách để xác minh thiết bị. Hãy dùng nó khi nhận hàng, và một lần nữa nếu bạn có bất kỳ nghi ngờ nào.
  • Chú ý phần cứng lạ. Radio không mong đợi, linh kiện thừa hoặc một thiết bị hành xử kỳ lạ, chẳng hạn như nóng lên hoặc tụt pin nhanh, đáng bị soi xét.
  • Hạn chế giá trị đặt cược trên một thiết bị. Phân tán tài sản across nhiều ví giúp giảm thiệt hại của một vụ xâm phạm duy nhất.

Điều này có nghĩa gì với bạn

Nếu bạn sở hữu một ví phần cứng, đặc biệt là ví mua qua nhà bán lẻ bên thứ ba, hãy kiểm tra nguồn gốc của nó. Nếu nó được bán bởi CryptoBilis, hãy làm theo hướng dẫn chính thức của Ledger và cân nhắc chuyển tiền sang một ví mới được tạo từ một thiết bị đã xác minh. Nếu bạn không chắc về nguồn gốc thiết bị của mình, bước thận trọng tương tự cũng được áp dụng.

Nếu bạn không sở hữu tiền mã hóa, bài học vẫn đúng. Bất kỳ thiết bị nào quan trọng với quyền riêng tư, từ khóa bảo mật đến router, chỉ đáng tin cậy tương đương với chuỗi cung ứng của nó. Mua từ các kênh chính thức là một trong những biện pháp bảo vệ rẻ nhất và hiệu quả nhất hiện có.

Những điểm chính

Câu chuyện chip phần mềm gián điệp trong ví Ledger vẫn đang phát triển, và các chi tiết có thể được làm rõ khi Ledger và các nhà điều tra chia sẻ thêm. Điều đã rõ là niềm tin vào phần cứng không thể được mặc định. Hãy xác minh tính toàn vẹn của bất kỳ ví phần cứng hoặc thiết bị quan trọng với quyền riêng tư nào bạn sở hữu, chỉ mua từ nhà sản xuất hoặc người bán được ủy quyền, và coi bất cứ thứ gì đến với cấu hình sẵn là đáng nghi. Những thói quen đó chỉ mất vài phút và có thể ngăn những tổn thất mà không bản vá phần mềm nào có thể khắc phục.