Ví lạnh, mà hình thức phổ biến nhất là ví phần cứng, vốn được xem là một trong những cách an toàn để lưu trữ tiền mã hóa, bởi người dùng có thể giữ quyền kiểm soát tài sản và không phải phụ thuộc vào một bên trung gian.

Tuy nhiên, vụ việc liên quan đến nhà sản xuất ví phần cứng Ledger của Pháp và nhà phân phối CryptoBilis đang đặt ra câu hỏi về mức độ an toàn của những thiết bị tưởng như đáng tin cậy này, theo Trading View.

Theo các thông tin được công bố, kẻ tấn công đã cài những linh kiện điện tử bí mật vào ví Ledger bán qua CryptoBilis, một nhà phân phối được ủy quyền tại Đông Nam Á.

Thiệt hại được các nhà nghiên cứu ước tính từ 72 triệu USD đến hơn 93 triệu USD, liên quan đến hàng trăm ví tiền mã hóa.

Ngày 10/10/2026, Ledger xác nhận ít nhất một thiết bị của người dùng có chứa phần cứng trái phép. Công ty yêu cầu CryptoBilis ngừng bán và vận chuyển các thiết bị của hãng trong thời gian điều tra.

Các linh kiện bị phát hiện được mô tả là những bảng mạch nhỏ có khả năng kết nối mạng di động, được giấu phía sau màn hình thiết bị. Các linh kiện này được cho là có nhiệm vụ thu thập cụm từ khôi phục của người dùng, sau đó gửi dữ liệu ra ngoài thông qua mạng di động.

Cụm từ khôi phục, còn gọi là seed phrase hoặc recovery phrase, là một trong những thông tin quan trọng nhất đối với người sở hữu ví tiền mã hóa. Theo tài liệu hướng dẫn của Ledger, cụm từ này đóng vai trò như bản sao lưu cho các khóa riêng tư, cho phép người dùng khôi phục quyền truy cập vào ví trên một thiết bị khác tương thích.

Nói cách khác, nếu có được cụm từ khôi phục, kẻ tấn công có thể tái tạo các khóa cần thiết để kiểm soát tài sản trong ví mà không cần chiếm giữ thiết bị vật lý của nạn nhân. Đây cũng là lý do Ledger cảnh báo người dùng không chia sẻ cụm từ khôi phục này với bất kỳ ai.

Cũng theo Trading View, một bài đăng trên mạng xã hội X còn đưa ra cáo buộc rằng những kẻ tấn công đã đi xa hơn việc can thiệp vào linh kiện trước khi bán. Theo bài đăng này, hacker đã mua lại nhà phân phối, yêu cầu ký thỏa thuận không tiết lộ thông tin (NDA), rồi cài chip gián điệp vào các thiết bị để đánh cắp hơn 80 triệu USD tiền mã hóa.

Tuy nhiên, thông tin về việc mua lại CryptoBilis và ký NDA chưa được Ledger xác nhận. Vì vậy, hiện chưa thể kết luận vụ việc có liên quan đến một thương vụ thâu tóm doanh nghiệp hay không.

Hoạt động rút tiền bất thường bắt đầu được ghi nhận vào khoảng ngày 9/10/2026. Các nhà nghiên cứu phát hiện lượng tiền lớn chuyển vào những địa chỉ ví bị nghi liên quan đến vụ trộm trên nhiều mạng blockchain, bao gồm Bitcoin, Ethereum và mạng lưới hỗ trợ stablecoin USDT của Tether.

Blockchain là hệ thống sổ cái kỹ thuật số ghi lại các giao dịch tài sản. Do dữ liệu giao dịch trên nhiều blockchain có thể được công khai, các nhà nghiên cứu có thể theo dõi dòng tiền giữa những địa chỉ ví, dù việc xác định danh tính thực sự của người đứng sau mỗi địa chỉ không phải lúc nào cũng khả thi.

Phần lớn thiệt hại được ghi nhận trong hai ngày, mùng 9 và mùng 10/10. Một phần tài sản bị đánh cắp được cho là đã chuyển qua các dịch vụ trộn tiền mã hóa, chẳng hạn Tornado Cash.

Các dịch vụ này được thiết kế để làm giảm khả năng liên kết giữa nguồn tiền ban đầu và địa chỉ nhận tiền cuối cùng bằng cách trộn các giao dịch hoặc tài sản từ nhiều nguồn. Từ đó, việc lần theo dòng tiền trở nên phức tạp hơn, nhưng không đồng nghĩa mọi giao dịch đều không thể truy vết.

Tether được cho là đã đóng băng khoảng 10 triệu USDT liên quan đến các địa chỉ ví bị nghi nhận tiền đánh cắp. Việc đóng băng tài sản có thể ngăn số token bị ảnh hưởng tiếp tục được chuyển đi, nhưng không đồng nghĩa toàn bộ số tiền đã mất được thu hồi.

Nhà nghiên cứu Mark Karpelès đã ghi lại hình ảnh và tài liệu về phần cứng bị can thiệp. Theo những phát hiện được ông công bố, các linh kiện có nhiều phiên bản khác nhau và xuất hiện trong những thiết bị được mua tại Đông Nam Á. Các bảng mạch được thiết kế để âm thầm thu thập dữ liệu nhạy cảm, trong khi tránh kích hoạt những cơ chế bảo mật của Ledger.

CryptoBilis phục vụ khách hàng tại Malaysia, Indonesia và Philippines. Ledger cho biết các trường hợp được xác nhận đến nay đều liên quan đến thiết bị bán qua nhà phân phối này. Công ty khẳng định chưa có bằng chứng cho thấy hệ thống cốt lõi hoặc các sản phẩm bán trực tiếp của hãng bị ảnh hưởng.

Đối với những người đã mua Ledger qua CryptoBilis, vấn đề đáng lo ngại nhất là liệu cụm từ khôi phục có bị lộ hay không. Nếu thông tin này đã bị đánh cắp, việc chuyển sang sử dụng một thiết bị khác nhưng vẫn khôi phục ví bằng cụm từ cũ sẽ không giải quyết được rủi ro.

Giải pháp hợp lý đối với người nghi bị ảnh hưởng là tạo một ví mới trên thiết bị được xác minh an toàn, sử dụng cụm từ khôi phục hoàn toàn mới rồi chuyển tài sản sang ví đó. Người dùng cần tuyệt đối tránh nhập cụm từ khôi phục cũ vào máy tính, điện thoại hoặc các trang web không đáng tin cậy.

Vụ việc hiện vẫn cần được làm rõ trên ba phương diện. Thứ nhất, Ledger và các nhà nghiên cứu độc lập cần xác định số thiết bị thực sự bị cài phần cứng trái phép. Thứ hai, cơ quan điều tra và các đơn vị theo dõi blockchain cần tiếp tục truy vết số tài sản bị đánh cắp, đặc biệt là những khoản tiền đã đi qua các dịch vụ trộn tiền.

Cuối cùng, cáo buộc hacker mua lại nhà phân phối cần được xác minh, bởi nếu đúng, vụ việc không chỉ dừng ở việc can thiệp vào hàng hóa mà còn cho thấy rủi ro từ chính kênh phân phối vốn được người dùng tin tưởng.