Vụ hack ví Ledger: 86 triệu USD bị đánh cắp qua thiết bị cài mạch cấy ghép từ một đại lý bán lại

Vụ hack ví Ledger xuất hiện trên tin tức ngày 9 tháng 10 năm 2026 không phải là vụ hack chip của Ledger. Công ty đang điều tra thiệt hại của các khách hàng ở Đông Nam Á đã mua thiết bị từ đại lý bán lại CryptoBilis; các nhà phân tích on-chain ước tính thiệt hại ở mức 72-86 triệu USD, trong khi Ledger chưa xác nhận cả con số lẫn nguyên nhân. Một ngày trước đó, Mark Karpeles, cựu lãnh đạo Mt.Gox, công bố nghiên cứu của Tibane Labs: hai chiếc Nano X chứa một mạch cấy ghép phần cứng đọc các từ khôi phục từ bus màn hình rồi gửi chúng đi qua mạng di động. Chip bảo mật không hề bị đụng tới; bí mật rò rỉ trên đường tới màn hình. Dưới đây là những gì đã biết, mạch cấy ghép hoạt động ra sao, và nên làm gì nếu thiết bị của bạn đi qua một bên trung gian.

Những điểm chính

• Ngày 9 tháng 10 năm 2026, Ledger xác nhận đang điều tra thiệt hại của những người mua thiết bị từ CryptoBilis, đại lý bán lại được ủy quyền tại Indonesia, Malaysia và Philippines, và yêu cầu đại lý này ngừng bán.
• Nhà phân tích tanuki42 liên hệ hơn 72 triệu USD với các vụ trộm; nhà phân tích Specter đưa ra con số trên 86 triệu USD trên Bitcoin, Ethereum và TRON. Ledger chưa xác nhận các con số, và các ước tính có thể trùng lặp.
• Tibane Labs phát hiện một mạch cấy ghép dưới màn hình của hai chiếc Nano X mua tại Nhật Bản: nó đọc 24 từ khôi phục trong lúc thiết lập và truyền chúng đi qua mô-đun di động riêng có thẻ SIM và ăng-ten.
• Ledger cho biết hạ tầng của chính hãng không bị xâm phạm và hãng không nhận được khiếu nại nào về các thiết bị mua trực tiếp từ công ty.
• Thiết bị mua từ CryptoBilis trong 90 ngày gần đây không nên được thiết lập; thiết bị đã kích hoạt thì nên thay bằng thiết bị mới với cụm từ khôi phục mới.

Các thuật ngữ chính

• Ví cứng là thiết bị vật lý lưu khóa riêng tư ngoại tuyến và ký giao dịch mà không để lộ khóa cho máy tính hay điện thoại.
• Chip bảo mật là con chip được chứng nhận bên trong thiết bị Ledger, nơi lưu khóa và ký giao dịch.
• Cụm từ khôi phục là danh sách 24 từ khôi phục chỉ hiển thị một lần khi thiết lập; ai có nó thì kiểm soát tiền.
• Passphrase là từ thứ 25 tùy chọn, tạo ra một bộ tài khoản riêng mà chỉ 24 từ thì không truy cập được.
• Mạch cấy ghép phần cứng là một bo mạch phụ giấu bên trong thiết bị để chặn bắt hoặc truyền dữ liệu.
• Kiểm tra chính hãng (Genuine check) là bước xác minh trong ứng dụng Ledger Live nhằm xác nhận chip bảo mật là hàng thật.

Những gì đã biết tính đến ngày 12 tháng 10

Ledger cho biết hạ tầng, hệ thống và dịch vụ của hãng không bị xâm phạm, và không có khiếu nại nào về các thiết bị mua trực tiếp từ công ty. Lời khuyên của hãng có địa chỉ cụ thể: những ai nhận thiết bị từ CryptoBilis trong 90 ngày gần đây mà chưa thiết lập thì đừng bắt đầu; những ai đã kích hoạt ví thì nên cân nhắc chuyển tài sản sang thiết bị mới với cụm từ khôi phục mới. Changpeng Zhao, đồng sáng lập Binance, mô tả vụ việc là một cuộc tấn công chuỗi cung ứng qua một người bán duy nhất, tức kiểu tấn công mà sản phẩm bị can thiệp trên đường từ nhà sản xuất tới người mua. Một lưu ý: các ước tính thiệt hại đến từ những nhà nghiên cứu ẩn danh và có thể trùng lặp theo địa chỉ.

Mạch cấy ghép đứng sau vụ hack ví Ledger hoạt động ra sao

Nghiên cứu của Tibane Labs đề cập hai chiếc Nano X. Dưới màn hình có một bo mạch phụ chặn bắt tín hiệu trên bus nối giữa chip bảo mật và màn hình. Khi thiết lập lần đầu, thiết bị hiển thị cho người dùng 24 từ khôi phục; mạch cấy ghép đọc chúng từ tín hiệu màn hình, nhận dạng và truyền cho kẻ tấn công qua mô-đun di động tích hợp.

• Con chip còn nguyên vẹn. Chip bảo mật hoạt động bình thường. Mạch cấy ghép bắt thông tin trên đường tới màn hình, nên bước kiểm tra chính hãng không phát hiện được sự can thiệp.
• Đây không phải firmware bị sửa đổi. Mã trên thiết bị là hàng thật, và các bản cập nhật firmware không sửa mà cũng không làm lộ ra vấn đề: sự can thiệp nằm ở phần cứng, không phải phần mềm.
• Có nhiều thế hệ. Từ bản lắp ráp ban đầu với dây dẫn lộ rõ đến một bo mạch nhỏ gọn đánh dấu v1.1 và được sản xuất công nghiệp.
• Thiết bị đến từ đâu. Một chiếc Nano X được mua trên Yahoo! Auctions ở Nhật Bản, chiếc còn lại trên Amazon Japan, với kiện hàng được gửi từ Malaysia.
• Chưa chứng minh được mối liên hệ với CryptoBilis. Tibane Labs khẳng định các thiết bị mà họ kiểm tra không liên quan đến cuộc điều tra của Ledger. Các cựu đồng sáng lập CryptoBilis nói với nhóm nghiên cứu rằng họ đã bàn giao doanh nghiệp cho chủ mới vào tháng 3 năm 2026 và từ đó không còn quyền truy cập.

Một giả thuyết được báo chí trong ngành bàn tới: các thiết bị cài mạch cấy ghép được bán suốt nhiều tháng, cụm từ khôi phục được thu thập dần, và khi lời cảnh báo từ Nhật Bản được công khai thì các khóa bị đánh cắp được dùng cùng một lúc. Điều đó giải thích vì sao hàng chục ví bị rút sạch trong cùng một ngày.

Vì sao chuyện này quan trọng ở mọi nơi Ledger không giao hàng

Ở những thị trường không có kênh giao hàng chính thức, trong đó có Nga, thiết bị đến tay người dùng qua trung gian, sàn thương mại điện tử và đại lý bán lại. Vụ CryptoBilis cho thấy nhãn đại lý được ủy quyền không phải là sự bảo đảm, và chuỗi từ nhà sản xuất đến người giao hàng càng dài thì càng nhiều mắt xích nơi chiếc hộp có thể bị mở và bên trong bị sửa đổi.

Ví cứng bảo vệ khóa khỏi mã độc và lừa đảo giả mạo, nhưng không bảo vệ được trước một thiết bị đến tay bạn khi bên trong đã có sẵn con mắt của kẻ khác. Chúng tôi đã phân tích một trường hợp thiết bị bị xâm phạm khác, lỗi firmware làm suy yếu việc tạo khóa, trong bài viết về bảo mật ví cứng. Ở đó vấn đề là khóa được tạo ra như thế nào; ở đây là khóa bị rò rỉ ra sao. Passphrase là một rào chắn một phần: 24 từ bị lộ, nhưng từ thứ 25 được nhập riêng và không bao giờ hiển thị trên màn hình khi thiết lập. Một mạch cấy ghép tinh vi hơn cũng có thể bắt được thao tác nhập, nên nó giảm rủi ro chứ không loại bỏ rủi ro.

Cách kiểm tra thiết bị của bạn

1. Nhớ lại ví được mua ở đâu và khi nào. Mua trực tiếp từ nhà sản xuất hoặc mua từ trước năm 2026 thì rủi ro thấp; mua qua trung gian, sàn thương mại điện tử hoặc trong vài tháng gần đây là lý do để hành động.
2. Chạy bước kiểm tra chính hãng trong Ledger Live. Bước này bắt buộc nhưng chưa đủ: nó xác nhận chip bảo mật là hàng thật, còn mạch cấy ghép thì không đụng tới chip.
3. Kiểm tra vỏ máy: dấu hiệu bị mở, đường ghép không đều, linh kiện thừa dưới màn hình. Nhóm nghiên cứu đề nghị các nạn nhân gửi ảnh bo mạch, vì mạch cấy ghép lộ ra ngay khi mở thiết bị.
4. Đừng bao giờ dùng thiết bị đi kèm tờ ghi cụm từ khôi phục đã điền sẵn hoặc được giao ở trạng thái «đã cấu hình sẵn». Các từ phải xuất hiện trên màn hình của bạn trong lần thiết lập đầu tiên do chính bạn thực hiện.
5. Nếu nghi ngờ, hãy tạo cụm từ khôi phục mới trên một thiết bị có chuỗi cung ứng minh bạch và chuyển tài sản sang đó. Hãy coi các địa chỉ cũ là đã bị lộ.

Chủ ví Ledger nên làm gì lúc này

Một sự cố ồn ào luôn kéo theo làn sóng lừa đảo thứ hai: hãy chờ đón những tin nhắn kiểu «kiểm tra Ledger của bạn xem có mạch cấy ghép không» và «cập nhật firmware qua đường dẫn này». Không nhà sản xuất nào và không nhà nghiên cứu nào hỏi cụm từ khôi phục; những bức thư như vậy trông ra sao đã được trình bày trong bài viết của chúng tôi về vụ rò rỉ dữ liệu tại SafePal và Trezor và trong hướng dẫn về các chiêu lừa đảo giả mạo trong crypto. Ngoài ra, vụ hack ví Ledger để lại cho chủ ví một danh sách ngắn.

1. Thiết bị mua từ CryptoBilis hoặc bất kỳ trung gian không rõ nguồn gốc nào trong 90 ngày gần đây và chưa thiết lập: đừng thiết lập.
2. Thiết bị đã kích hoạt và không mua trực tiếp: chuyển tài sản sang thiết bị mới với cụm từ khôi phục mới được tạo ngay trên màn hình của bạn.
3. Bật passphrase và cất nó tách biệt với 24 từ.
4. Chỉ mua ví cứng qua một chuỗi mà bạn truy ngược được tới nhà sản xuất, và đừng tin những chiếc hộp «còn niêm phong» từ người bán cá nhân: niêm phong không chứng minh được gì.
5. Theo dõi các cập nhật chính thức về cuộc điều tra và bỏ qua email, cuộc gọi, tin nhắn về việc «kiểm tra thiết bị».