Theo Cointelegraph, những người dùng tiền điện tử thông thường không thể nào phát hiện được các hành vi can thiệp tinh vi vào ví cứng của họ, chuyên gia bảo mật Joe Grand cảnh báo.
Grand, một chuyên gia hàng đầu về bảo mật phần cứng, từng thành công trong việc khôi phục tiền điện tử từ các ví bị khóa. Ông nổi tiếng với việc phát triển các kỹ thuật vượt qua bảo vệ và trích xuất dữ liệu từ chip bộ nhớ của các ví như Trezor và KeepKey.
“Rất khó để hướng dẫn mọi người cách kiểm tra thiết bị của họ, bởi vì ngay cả những người có chuyên môn kỹ thuật như tôi cũng không thể kiểm tra từng thiết bị để xem liệu nó có bị can thiệp hay không,” Grand chia sẻ.
Những lo ngại này bùng lên vào thứ Sáu tuần trước sau khi có báo cáo về việc mất tiền điện tử liên quan đến các thiết bị Ledger được bán qua CryptoBilis – một nhà phân phối ủy quyền tại Indonesia, Malaysia và Philippines. Vào thứ Bảy, Ledger đã xác nhận rằng một thiết bị bị ảnh hưởng đã chứa một con chip giả mạo trái phép.
Nhà sản xuất ví cứng Pháp cho biết, các con chip độc hại được cấy ghép trong ví Ledger bán bởi CryptoBilis đã thu thập cụm từ khôi phục (seed phrase) của người dùng và truyền chúng qua mạng di động.
Kiểm soát nhiều hơn không có nghĩa là ít tin tưởng hơn
Ví cứng được thiết kế để giữ khóa riêng tư (private keys) ngoại tuyến, giảm thiểu nguy cơ bị tấn công trực tuyến mà các ví phần mềm thường đối mặt.
Tuy nhiên, sự phổ biến toàn cầu của một số ví cứng và mạng lưới phân phối rộng khắp của chúng đã tạo ra cơ hội cho các cuộc tấn công can thiệp vào chuỗi cung ứng.
Nhà phân tích tiền điện tử Mati Greenspan chia sẻ với Cointelegraph rằng ông chưa bao giờ sử dụng ví cứng dù đã tham gia vào ngành công nghiệp này từ năm 2013, bởi ông nhận thấy ít giá trị trong việc thêm một tầng tin cậy khác vào hệ thống.
Liên quan: MediaMarktSaturn rút sản phẩm Ledger khỏi kệ hàng giữa báo cáo can thiệp
“Khi bạn mua một chiếc ví cứng, bạn đang đưa vào một chuỗi tin cậy hoàn toàn mới, từ nhà sản xuất đến nhà cung cấp và bất kỳ ai đã xử lý thiết bị trước khi nó đến tay bạn,” Greenspan giải thích.
Nick Neuman, CEO của công ty bảo mật Bitcoin Casa, nhận định rằng việc tránh hoàn toàn sự tin cậy vào bên thứ ba là bất khả thi. “Luôn có một bên trung gian mà bạn sẽ cần phải tin tưởng,” ông nói, đồng thời khuyên người dùng nên phân tán rủi ro của mình trên nhiều nhà cung cấp thay vì chỉ dựa vào một.
Kiểm tra bảo mật không thể phát hiện mọi thứ
Trezor, một trong những đối thủ chính của Ledger, cho biết thiết bị của họ trải qua các kiểm tra xác thực và chỉ chấp nhận phần sụn (firmware) được ký điện tử. Tuy nhiên, họ cũng thừa nhận rằng những biện pháp bảo vệ này không thể loại trừ hoàn toàn việc can thiệp vật lý.
“Bạn có thể kiểm tra xem bao bì và tem chống giả ba chiều còn nguyên vẹn hay không, và tìm kiếm các dấu hiệu bất thường trên thiết bị. Nhưng chỉ riêng những kiểm tra này cũng không thể đảm bảo rằng thiết bị chưa bị sửa đổi,” một phát ngôn viên của Trezor chia sẻ với Cointelegraph.
Liên quan: Ledger yêu cầu các nhà bán lẻ ngừng bán hàng tại Đông Nam Á và Hồng Kông
Công ty cho biết các con chip cấy ghép được tìm thấy trong thiết bị Ledger đặt ra một thách thức khác biệt, bởi vì chúng thu thập thông tin từ màn hình mà không cần sửa đổi phần sụn. Trezor khẳng định rằng họ chưa từng quan sát loại hình tấn công này trên các thiết bị của mình.
Vào thứ Ba, Trezor thông báo sẽ giảm số lượng nhà phân phối như một biện pháp “phòng ngừa”.
Thiết kế ví cứng có thể giảm thiểu rủi ro can thiệp
Grand đề xuất một số thay đổi trong thiết kế vật lý, từ vỏ trong suốt để lộ các linh kiện bên trong, đến các hộp bảo vệ chống can thiệp mà buộc kẻ tấn công phải tái tạo lại toàn bộ vỏ bọc để che giấu sự thay đổi.
“Sẽ khó khăn hơn rất nhiều cho kẻ thù để cấy ghép thêm phần cứng vào thiết bị, bởi vì chúng sẽ phải tái tạo lại toàn bộ vỏ bọc,” ông nói.
Chuyên gia bảo mật này cũng chỉ ra các khuyến nghị thiết kế chống can thiệp từ kỹ sư điện tử Dave Jones, đồng thời cảnh báo rằng những biện pháp như vậy không nên được dựa vào một mình. Chúng có thể khiến các cuộc tấn công chuỗi cung ứng khó khăn hơn, nhưng không loại bỏ hoàn toàn rủi ro.
Tạp chí: Vụ tấn công Ledger lan rộng sang EU, AI phát hiện lỗi ’18 nghìn tỷ XRP’: Điểm tin Hodler
Nguồn: Cointelegraph – Can crypto users trust the supply chain behind hardware wallets?
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
