Ví lạnh Ledger có thực sự bị hack? Bài học từ vụ thất thoát 86 triệu USD

Chỉ cần nghe đến cụm từ “ví lạnh bị hack” cũng đủ khiến nhiều người lo lắng. Ví lạnh vốn được xem là một trong những phương pháp lưu trữ crypto an toàn nhất. Nếu ngay cả ví lạnh cũng gặp vấn đề, chúng ta còn có thể tin tưởng điều gì?

Tuy nhiên, thông tin hiện tại không cho thấy toàn bộ hệ thống Ledger đã bị phá vỡ. Vấn đề ban đầu được khoanh vùng ở một số thiết bị được mua qua nhà phân phối CryptoBilis tại Đông Nam Á. Cuộc điều tra vẫn đang tiếp diễn và chúng ta cần phân biệt rõ giữa việc công nghệ bảo mật của Ledger bị hack với khả năng thiết bị đã bị can thiệp trong chuỗi cung ứng.

Khoảng 86 triệu USD crypto đã biến mất như thế nào?

Ledger xác nhận đang điều tra các báo cáo mất tài sản của người dùng tại Đông Nam Á đã mua thiết bị từ một nhà phân phối có tên CryptoBilis. Công ty cũng yêu cầu đơn vị này tạm dừng việc bán và vận chuyển sản phẩm trong khi chờ kết quả điều tra.

Theo những thông tin ban đầu, CryptoBilis chủ yếu phân phối ví tại Malaysia, Philippines và Indonesia, dù có thể từng vận chuyển sản phẩm đến những quốc gia khác.

Một hình ảnh được chia sẻ bởi Mark Karpelès, cựu CEO của Mt. Gox, càng làm cộng đồng lo lắng. Ông cho biết đã mua một thiết bị với giá rẻ trên Amazon. Sản phẩm trông như mới và còn vượt qua bước kiểm tra xác thực của phần mềm Ledger Live. Tuy nhiên, khi tháo thiết bị ra, ông phát hiện bên trong có linh kiện bất thường được cho là có khả năng ghi lại thông tin hiển thị trên màn hình.

Giả thuyết được đưa ra là một số thiết bị có thể đã bị can thiệp trước khi đến tay người dùng. Khi người dùng thiết lập ví và ghi lại 24 từ khôi phục, linh kiện được cài thêm có thể thu thập thông tin đó rồi gửi cho kẻ tấn công. Sau khi có cụm từ khôi phục, kẻ xấu không cần sở hữu thiết bị vật lý vẫn có thể tạo lại ví trên một thiết bị khác và chuyển toàn bộ tài sản đi.

Đây mới chỉ là giả thuyết đang được xem xét, chưa phải kết luận chính thức. Chúng ta chưa biết thiết bị bị can thiệp ở đâu, do ai thực hiện hoặc nhà phân phối có liên quan trực tiếp hay không.

Điểm quan trọng là chưa có bằng chứng cho thấy thuật toán bảo mật cốt lõi của Ledger đã bị phá vỡ hay tất cả thiết bị Ledger đều gặp nguy hiểm.

Ví chính hãng vẫn có thể bị can thiệp?

Điều đáng lo nhất trong sự việc này là thiết bị bị nghi ngờ vẫn có thể vượt qua bước kiểm tra chính hãng.

Một chiếc ví lạnh có thể sử dụng linh kiện và phần mềm thật của nhà sản xuất, nhưng vẫn bị bổ sung phần cứng độc hại trước khi được giao cho khách hàng. Hệ thống xác thực có thể nhận diện thiết bị là sản phẩm chính hãng, nhưng không nhất thiết phát hiện được mọi linh kiện đã được gắn thêm bên trong.

Đây được gọi là rủi ro chuỗi cung ứng. Vấn đề không nhất thiết xuất phát từ nhà sản xuất mà có thể xuất hiện tại nhà phân phối, đơn vị vận chuyển, cửa hàng bán lẻ hoặc một bên trung gian nào đó.

Vì vậy, mua ví lạnh trực tiếp từ hãng hoặc một nhà phân phối đã được xác minh vẫn là biện pháp giảm rủi ro quan trọng. Những sản phẩm được bán rẻ bất thường trên các nền tảng thương mại điện tử cần được xem xét rất thận trọng.

Trong crypto, một món hàng giảm 50% đôi khi không phải là cơ hội tiết kiệm. Cái giá thực sự có thể là toàn bộ tài sản trong ví.

Không phải vụ mất crypto nào cũng là “hack”

Khi nghe một ví hoặc sàn bị hack, phần lớn chúng ta hình dung rằng kẻ tấn công đã trực tiếp phá vỡ một hệ thống bảo mật. Nhưng trên thực tế, tài sản crypto có thể bị đánh cắp theo nhiều cách khác nhau.

Thứ nhất là tấn công phần mềm. Kẻ xấu có thể khai thác lỗ hổng trong ứng dụng, hợp đồng thông minh hoặc hệ điều hành để truy cập tài sản.

Thứ hai là tấn công vật lý. Thiết bị có thể bị tháo ra, thay đổi linh kiện hoặc cài thêm bộ phận theo dõi trước khi đến tay người dùng.

Thứ ba là social engineering, tức thao túng con người. Kẻ lừa đảo có thể giả làm nhân viên hỗ trợ, gửi trang web giả, thuyết phục người dùng nhập cụm từ khôi phục hoặc ký một giao dịch độc hại.

Nhiều vụ mất crypto không xảy ra vì blockchain bị phá vỡ. Chúng xảy ra vì kẻ tấn công tìm được cách đi vòng qua công nghệ và nhắm trực tiếp vào con người, thiết bị hoặc quy trình phân phối.

Crypto hoạt động gần giống tiền mặt kỹ thuật số. Một khi giao dịch đã được ký và xác nhận, gần như không có ngân hàng hay tổ chức trung gian nào có thể đảo ngược giao dịch. Đây vừa là sức mạnh, vừa là rủi ro của việc tự lưu ký.

Lưu trên sàn hay ví lạnh đều có những rủi ro riêng

Sự việc lần này có thể khiến một số người cho rằng giữ tài sản trên sàn sẽ an toàn hơn. Nhưng lịch sử đã cho thấy sàn giao dịch cũng không miễn nhiễm trước các cuộc tấn công.

Mt. Gox, Cryptopia, Coincheck và nhiều sàn khác từng đóng cửa sau khi mất một lượng lớn tài sản. Năm 2022, FTX sụp đổ dù trước đó được xem là một trong những sàn lớn nhất thế giới, được nhiều quỹ đầu tư và tổ chức tài chính hậu thuẫn.

Khi giữ crypto trên sàn, người dùng phải tin rằng sàn quản lý tài sản đúng cách, duy trì đủ thanh khoản và có khả năng bồi thường nếu xảy ra sự cố. Sàn cũng có thể đóng băng tài khoản khi phát hiện giao dịch bất thường hoặc có yêu cầu từ cơ quan chức năng.

Khi tự lưu ký bằng ví lạnh, người dùng kiểm soát khóa cá nhân nhưng đồng thời phải chịu trách nhiệm hoàn toàn về thiết bị, cụm từ khôi phục và quy trình bảo mật.

Ví nóng thuận tiện hơn nhưng phụ thuộc vào mức độ an toàn của điện thoại hoặc máy tính. Nếu thiết bị bị nhiễm mã độc, kẻ tấn công có thể chiếm quyền điều khiển ví.

Không có phương pháp nào loại bỏ hoàn toàn rủi ro. Mỗi lựa chọn chỉ chuyển rủi ro từ một bên sang một bên khác.

Bảo vệ tài sản quan trọng hơn tìm kiếm lợi nhuận

Warren Buffett có hai nguyên tắc nổi tiếng: nguyên tắc thứ nhất là đừng để mất tiền; nguyên tắc thứ hai là đừng quên nguyên tắc thứ nhất.

Trong đầu tư dài hạn, tránh được những sự cố nghiêm trọng cũng quan trọng không kém việc lựa chọn đúng tài sản. Nếu mất toàn bộ crypto vì thiết bị bị can thiệp hoặc cụm từ khôi phục bị lộ, việc Bitcoin tăng giá bao nhiêu trong tương lai cũng không còn ý nghĩa.

Những người nắm giữ lượng tài sản đáng kể có thể cân nhắc phân bổ sang nhiều phương pháp lưu trữ, thay vì đặt tất cả vào một thiết bị hoặc một sàn duy nhất. Ví sử dụng cho giao dịch thường xuyên cũng nên được tách khỏi ví lưu trữ dài hạn.

Không nhập cụm từ khôi phục vào website, ứng dụng hoặc máy tính. Không chụp ảnh và lưu trên đám mây. Không tin những người tự nhận là nhân viên hỗ trợ chủ động liên hệ. Đặc biệt, không mua ví đã được cài đặt sẵn hoặc có sẵn cụm từ khôi phục trong hộp.

Nếu đang sử dụng thiết bị mua từ nguồn bị nghi ngờ, người dùng nên theo dõi thông báo chính thức từ nhà sản xuất và nhà phân phối. Không nên vội vàng thao tác chỉ dựa trên tin đồn, bởi việc chuyển tài sản trong trạng thái hoảng loạn cũng có thể dẫn đến sai địa chỉ hoặc rơi vào một trang lừa đảo.

Thị trường đang trưởng thành qua từng sự cố

Những năm đầu của crypto, một vụ hack lớn có thể khiến sàn giao dịch lập tức phá sản. Ngày nay, một số sàn lớn đã xây dựng quỹ bảo vệ, giới hạn lượng tài sản trong ví nóng và chuẩn bị quy trình ứng phó khi xảy ra sự cố.

Điều đó không có nghĩa thị trường đã hoàn toàn an toàn. Câu hỏi thực tế không phải một công ty có bao giờ bị tấn công hay không, mà là khi sự cố xảy ra, họ có đủ cơ chế giới hạn thiệt hại và bồi thường cho khách hàng hay không.

Các nhà sản xuất ví lạnh cũng sẽ phải cải thiện việc kiểm tra phần cứng và quản lý chuỗi cung ứng sau sự việc này. Một bài học mới đã xuất hiện: xác nhận thiết bị sử dụng phần mềm chính hãng chưa chắc đã đủ nếu phần cứng có thể bị can thiệp.

Dù liên tục đón nhận những thông tin bất lợi, Bitcoin vẫn giao dịch quanh vùng 82.000–83.000 USD và cao hơn đáng kể so với mức khoảng 58.000 USD vài tháng trước. Điều đó cho thấy nhu cầu và niềm tin dài hạn chưa biến mất.

Bitcoin vẫn đang tiếp tục leo lên “bức tường lo âu”. Trên hành trình đó sẽ luôn có những vụ hack, sự sụp đổ và công nghệ mới tạo ra rủi ro chưa từng được nghĩ đến. Nhưng chính những sự cố này cũng buộc toàn bộ thị trường phải hoàn thiện hơn.

Điều nhà đầu tư có thể làm không phải là tìm kiếm một phương pháp an toàn tuyệt đối. Điều cần thiết là hiểu rõ từng loại rủi ro, lựa chọn nguồn mua đáng tin cậy, phân bổ tài sản hợp lý và không để một điểm yếu duy nhất có thể lấy đi tất cả.

Bài viết mang tính chất cung cấp thông tin, không phải lời khuyên đầu tư. Vụ việc vẫn đang được điều tra và các thông tin ban đầu có thể tiếp tục thay đổi.