Ledger điều tra nghi vấn 86 triệu USD tiền số bị rút qua thiết bị phân phối tại Đông Nam Á

Ledger, hãng sản xuất ví cứng lưu trữ Tài sản số có trụ sở tại Paris, hôm thứ Sáu xác nhận đang điều tra các báo cáo về việc tiền trong ví của khách hàng bị rút mà không rõ nguyên nhân. Các ví này đều được mua qua một nhà phân phối tên CryptoBilis tại Đông Nam Á, chứ không phải kênh bán hàng chính thức của Ledger.

Nhà nghiên cứu blockchain ẩn danh có tên Specter là người đầu tiên công khai nghi vấn trên mạng xã hội X, cho rằng hơn 86 triệu USD Tài sản số có thể đã bị rút khỏi hàng trăm ví liên quan tới các địa chỉ Bitcoin, Ethereum và Tron. Con số này xuất phát từ việc Specter tự truy vết các địa chỉ bị nghi ngờ, sau khi thấy người dùng Ledger phản ánh trên X và Reddit.

Bản thân Ledger, trong thông báo chính thức, không xác nhận số tiền 86 triệu USD và cũng không nêu nguyên nhân sự việc. Nói cách khác, con số đang lan truyền hiện chỉ đến từ một nguồn độc lập bên ngoài, chưa được công ty hay bên thứ ba nào kiểm chứng.

Cơ chế nghi vấn: tấn công chuỗi cung ứng

Một khả năng được nêu ra là tấn công chuỗi cung ứng — thiết bị bị can thiệp trước khi đến tay người mua. Theo kịch bản này, kẻ tấn công có thể đưa ra thị trường một ví cứng đã được cài sẵn cụm từ khôi phục (recovery phrase) mà chúng biết trước, chờ người dùng nạp tài sản vào rồi rút ra sau đó.

Đây là cơ chế khác hẳn với việc hệ thống hay công nghệ ví của Ledger bị xâm nhập trực tiếp. Về bản chất, lỗ hổng nếu có nằm ở khâu phân phối vật lý của thiết bị, không nằm ở phần mềm hay máy chủ của hãng. Tuy nhiên Ledger cũng chưa xác nhận đây chính là nguyên nhân, và số người dùng bị ảnh hưởng thực tế vẫn chưa được làm rõ.

Để phòng ngừa, Ledger đã yêu cầu CryptoBilis tạm dừng toàn bộ hoạt động bán và giao hàng trong lúc điều tra. Hãng khuyến cáo những khách hàng đã mua thiết bị qua nhà phân phối này trong 90 ngày gần nhất không nên kích hoạt ví. Với những người đã kích hoạt, Ledger đề nghị cân nhắc chuyển tài sản sang một thiết bị mới với cụm từ khôi phục được tạo lại hoàn toàn.

Hệ quả bậc hai: niềm tin vào ví cứng

Ledger cho biết đã bán hơn 7 triệu thiết bị trên toàn cầu, và sản phẩm của hãng được xem là một trong những công cụ phổ biến nhất để nhà đầu tư giữ Tài sản số ngoại tuyến, tách khỏi rủi ro của các sàn giao dịch. Chính vì vậy, bất kỳ sự cố an ninh nào liên quan tới thương hiệu này đều có sức lan toả vượt ra ngoài phạm vi những người dùng trực tiếp bị ảnh hưởng.

Nhóm chịu tác động gián tiếp ở đây là toàn bộ người dùng ví cứng nói chung, kể cả những ai mua thiết bị chính hãng qua kênh phân phối hợp lệ. Nếu nguyên nhân cuối cùng được xác nhận là tấn công chuỗi cung ứng qua một nhà phân phối bên thứ ba, câu hỏi đặt ra sẽ không còn là lỗi của riêng Ledger mà là mức độ kiểm soát của các hãng ví cứng đối với mạng lưới đại lý bán hàng trên toàn cầu, đặc biệt ở các thị trường không có kênh chính hãng trực tiếp như một số nước Đông Nam Á.

Sự việc này xảy ra trong một năm mà ngành an ninh Tài sản số đã ghi nhận nhiều vụ thất thoát lớn. Theo dữ liệu DefiLlama được CoinDesk dẫn lại, sàn Bitget mất khoảng 350 triệu USD hồi tháng trước, trong khi Liquid Network, Drift và Kelp lần lượt mất khoảng 320 triệu, 295 triệu và 293 triệu USD trong các sự cố riêng biệt.

Với thị trường Việt Nam, nơi ví cứng là công cụ phổ biến để nhà đầu tư cá nhân tự giữ Tài sản số, sự việc là lời nhắc về rủi ro ở khâu mua hàng qua đại lý không chính thức hoặc kênh phân phối trung gian. Hiện khung pháp lý trong nước chưa có quy định riêng về trách nhiệm của nhà phân phối thiết bị lưu ký Tài sản số khi xảy ra sự cố, và đây là khoảng trống cần được các cơ quan quản lý và doanh nghiệp trong ngành lưu ý khi thị trường tài sản mã hoá phát triển.

Đến thời điểm hiện tại, chưa có xác nhận độc lập nào về số tiền thiệt hại, số lượng người dùng bị ảnh hưởng, hay việc các vụ rút tiền được báo cáo có thực sự liên quan với nhau hay không. Ledger cho biết sẽ cập nhật thêm khi cuộc điều tra có tiến triển, và đó là mốc thời gian đáng theo dõi tiếp theo.