Ledger đã trình bày chi tiết cách các thiết bị cấy ghép hỗ trợ LTE ẩn bên trong ví cứng có thể làm lộ cụm từ khôi phục của người dùng. Tiết lộ này khiến CryptoBilis phải dừng bán các ví chứa thiết bị cấy gián điệp. Trezor và OneKey đều đã cắt đứt quan hệ với nhà bán lại này.
Thiết bị cấy ghép làm gì
Các thiết bị cấy ghép sử dụng kết nối LTE để âm thầm truyền cụm từ khôi phục ví sau khi thiết bị được thiết lập và nạp tiền. Bài viết của Ledger giải thích rằng phần cứng bị xâm phạm trông và hoạt động như một chiếc ví bình thường cho đến khi nó được kích hoạt. Cụm từ khôi phục đó là điểm lỗi duy nhất đối với bất kỳ thiết lập tự lưu ký nào, vì vậy một đường dẫn rò rỉ âm thầm là điều tồi tệ nhất có thể xảy ra.
CryptoBilis, đơn vị đã bán các thiết bị bị ảnh hưởng, đã ngừng bán ví có thiết bị cấy ghép sau tiết lộ của Ledger. Nhà bán lại này chưa công bố công khai có bao nhiêu thiết bị đã đến tay khách hàng hoặc phần cứng bị sửa đổi có nguồn gốc từ đâu.
Trezor và OneKey rút lui
Trezor và OneKey đều đã chấm dứt quan hệ với CryptoBilis. Cả hai nhà cung cấp chưa công bố tuyên bố nào về quyết định này ngoài việc cắt quan hệ. Động thái này khiến CryptoBilis mất đi hai đối tác thương hiệu lớn, ít nhất là trong thời điểm hiện tại.
Đó là một phản ứng nhanh chóng. Các thỏa thuận với nhà bán lại thường không bị hủy bỏ ngay trong tuần có báo cáo bảo mật được công bố, đặc biệt khi nhà bán lại chưa bị cáo buộc tự tạo ra các thiết bị cấy ghép. Nhưng khi danh mục sản phẩm là ví cứng — nơi toàn bộ điểm bán hàng là khóa của bạn không bao giờ chạm vào internet — thì một nhà bán lại bị phát hiện giao hàng có gắn radio LTE bên trong vỏ máy là một vấn đề danh tiếng mà không đối tác nào muốn ở gần.
Thiết bị đến từ đâu
Điều vẫn chưa rõ ràng là làm thế nào các thiết bị cấy ghép xâm nhập được vào chuỗi cung ứng. Báo cáo của Ledger mô tả phần cứng LTE nhưng không nêu tên nhà sản xuất hay quốc gia xuất xứ. CryptoBilis chưa giải đáp liệu các thiết bị có bị can thiệp trước hay sau khi đến kho hàng của mình. Cho đến khi ai đó trả lời được điều đó, mọi nhà bán lại trong lĩnh vực ví cứng đều có một câu hỏi mở: liệu bạn có thể chứng minh thiết bị trong hộp chính là thiết bị đã rời nhà máy?
Đối với người dùng đã mua ví qua CryptoBilis, lời khuyên thực tế rất đơn giản và khó chịu — hãy coi bất kỳ cụm từ khôi phục nào đã nhập trên thiết bị đó là đã bị lộ. Chuyển tiền sang một seed mới được tạo trên phần cứng từ nhà cung cấp không có liên hệ với nhà bán lại là cách khắc phục tiêu chuẩn, mặc dù chưa có công ty nào liên quan đưa ra hướng dẫn chính thức.
Vấn đề nhà bán lại
Các nhà sản xuất ví cứng đã dành nhiều năm khuyên khách hàng mua trực tiếp hoặc từ các đối tác được ủy quyền. CryptoBilis từng là một trong những đối tác đó của Trezor và OneKey cho đến tuần này. Đó là phần khó chịu của câu chuyện: việc can thiệp không xảy ra trong một con hẻm tối, mà xảy ra bên trong kênh phân phối mà chính các nhà cung cấp đã hướng khách hàng đến.
Cả Trezor và OneKey đều chưa cho biết liệu họ có kiểm toán các nhà bán lại khác hay không. Ledger chưa cho biết liệu họ có kế hoạch công bố phân tích kỹ thuật đầy đủ hơn hay không. Về phần mình, CryptoBilis đã im lặng kể từ khi ngừng bán — và câu hỏi có bao nhiêu ví bị xâm phạm đã nằm trong ngăn kéo của người dùng vẫn chưa có câu trả lời.
