Ngày 15/10/2026, Ledger chính thức công bố phản hồi về vụ tấn công mà hãng gọi là một trong những chiến dịch tinh vi nhất từng nhắm vào ngành thiết bị phần cứng bảo vệ crypto: một nhóm tội phạm có tổ chức đã cấy linh kiện ẩn vào ví Ledger thật, rồi đưa ngược vào kênh phân phối tại Malaysia để đánh cắp cụm từ khôi phục (recovery phrase) của người dùng.
Vì Việt Nam nằm trong khu vực bị ảnh hưởng, DigiBit tổng hợp lại toàn bộ diễn biến, cách thức tấn công để khách hàng nắm được.
Tóm tắt nhanh
- Kẻ tấn công mua ví Ledger chính hãng, tháo ra, gắn thêm linh kiện ẩn để đọc cụm từ khôi phục khi người dùng khởi tạo ví, rồi đóng lại và bán qua đại lý CryptoBilis.
- Ledger khẳng định chip, hệ điều hành và máy chủ của hãng không bị xâm nhập; đây là tấn công vào khâu phân phối sau khi thiết bị rời khỏi nhà máy.
- Toàn bộ ca mất tiền đã xác nhận đều liên quan đến đại lý CryptoBilis (Malaysia).
- Ledger yêu cầu các đại lý và nhà phân phối ủy quyền tại Đông Nam Á và Hồng Kông tạm ngừng bán.
- Các nhà nghiên cứu on-chain ước tính thiệt hại khoảng 86–93 triệu USD từ hơn 300 ví; Ledger chưa xác nhận con số này.
Chuyện gì đã xảy ra?
Một nhóm tội phạm có tổ chức đã kiên nhẫn chuẩn bị trong nhiều tháng. Chúng mua ví Ledger thật, mở vỏ, lắp thêm linh kiện tự chế được thiết kế để thu thập cụm từ khôi phục trong lúc người dùng thiết lập ví, sau đó đưa thiết bị quay lại kênh phân phối thông qua đại lý CryptoBilis tại Đông Nam Á.
Nhóm này còn tự xây dựng hạ tầng riêng: máy chủ thu thập cụm từ khôi phục, hệ thống rút tiền và rửa tiền. Ledger cho biết chúng đã chi hàng triệu USD và ra tay trong một đợt tấn công phối hợp, rút sạch tiền khỏi các ví cùng lúc.
Điểm quan trọng nhất: Ledger khẳng định không có lỗ hổng nào trong chip bảo mật (Secure Element), hệ điều hành Ledger OS hay máy chủ của hãng. Đây là cuộc tấn công nhắm vào kênh phân phối, sau khi thiết bị đã rời khỏi sự kiểm soát của Ledger.
Diễn biến theo thời gian
- 09/10/2026: Ledger Support thông báo đang điều tra các báo cáo mất tiền từ người dùng Đông Nam Á mua hàng qua CryptoBilis, yêu cầu đại lý này dừng toàn bộ việc bán và giao hàng. Người mua trong 90 ngày gần nhất được khuyến cáo chưa khởi tạo thiết bị.
- 10/10/2026: Ledger xác nhận phát hiện một linh kiện cấy ghép trái phép bên trong thiết bị của một nạn nhân.
- 11/10/2026: Trong bản cập nhật sau 72 giờ, Ledger cho biết số thiết bị bị ảnh hưởng là “có giới hạn” và mọi ca đã xác nhận đều mua qua CryptoBilis.
- 13/10/2026: Đội nghiên cứu bảo mật Ledger Donjon công bố chi tiết kỹ thuật của linh kiện cấy. Ledger mở rộng lệnh tạm ngừng bán sang các đại lý tại Đông Nam Á và Hồng Kông. Chuỗi bán lẻ MediaMarkt Saturn (Đức) cũng rút ví Ledger khỏi kệ hàng.
- 14/10/2026: Ledger kiểm tra hàng tồn tại các cửa hàng và kho phân phối ở Đức, không phát hiện dấu hiệu can thiệp và cho biết chưa có báo cáo mất tiền nào ở châu Âu.
- 15/10/2026: Ledger đăng bài phản hồi chính thức và công bố các quy định mới cho mạng lưới đại lý.
Linh kiện cấy ghép hoạt động như thế nào?
Theo thông tin Ledger công bố và được các trang bảo mật như The Hacker News, CoinDesk, Decrypt đưa tin:
- Linh kiện ẩn gồm một vi điều khiển đọc dữ liệu hiển thị trên màn hình thiết bị.
- Khi phát hiện màn hình đang hiển thị 24 từ khôi phục trong quá trình thiết lập, nó giải mã các từ này và gửi ra ngoài qua mạng di động LTE bằng eSIM gắn sẵn.
- Linh kiện không chạm vào Secure Element và không thay đổi giao dịch. Chính vì chip bảo mật gốc còn nguyên vẹn, thiết bị bị can thiệp vẫn có thể vượt qua bước kiểm tra chính hãng (Genuine Check) của Ledger.
Nói cách khác, kẻ tấn công không bẻ khóa được chip bảo mật. Chúng chọn cách “nhìn trộm” màn hình đúng vào khoảnh khắc duy nhất mà cụm từ khôi phục xuất hiện: lúc khởi tạo ví.
Ledger đã phản ứng ra sao?
Ledger cho biết đây là cuộc điều tra lớn nhất trong lịch sử công ty, huy động mọi phòng ban:
- Ledger Donjon tháo rời và phân tích cơ chế hoạt động của linh kiện cấy.
- Hãng cử nhóm đi mua ngẫu nhiên thiết bị tại các cửa hàng (bao gồm ở Đức) và lấy mẫu từ kho để mở ra kiểm tra; tất cả các mẫu đều sạch.
- Yêu cầu đại lý và nhà phân phối ủy quyền tại Đông Nam Á và Hồng Kông tạm ngừng bán; đồng thời rà soát số lượng lớn hàng tồn kho của chính hãng và không tìm thấy thiết bị bị can thiệp.
- Phối hợp với cơ quan thực thi pháp luật, cộng đồng bảo mật và nhóm ứng cứu SEAL 911 để truy vết dòng tiền và triệt phá hạ tầng của kẻ tấn công. Theo Crypto Briefing, Tether cũng đã đóng băng lượng USDT liên quan đến các ví bị xâm phạm.
Ledger nhấn mạnh đây không phải tấn công chuỗi cung ứng mang tính hệ thống, mà là tấn công cục bộ vào khâu phân phối. Hãng hứa sẽ công bố thêm chi tiết và chia sẻ thông tin kỹ thuật đầy đủ cho các nhà sản xuất khác để họ cùng gia cố sản phẩm.
Quy định mới cho đại lý Ledger
Ledger công bố siết chặt cách mạng lưới đại lý ủy quyền xử lý thiết bị, có hiệu lực ngay:
- Thiết bị bị trả lại tuyệt đối không được bán lại dưới bất kỳ hình thức nào, kể cả khi trông như mới và còn nguyên seal.
- Sản phẩm Ledger không còn được trưng bày trên kệ; hàng phải được cất trong kho và chỉ giao cho khách tại thời điểm mua.
- Đại lý phải báo ngay cho Ledger khi có khách hàng phản ánh sản phẩm có dấu hiệu bất thường.
Ledger cũng cho biết đang phát triển thêm các biện pháp chống loại tấn công này ở cấp độ sản phẩm và sẽ công bố trong thời gian tới.
