Lỗ hổng ví phần cứng 2026: scandal MediaMarkt, Ledger bị hack và các module LTE ẩn

Lỗ hổng ví phần cứng 2026: scandal MediaMarkt, Ledger bị hack và các module LTE ẩn

4.2 BTC bay màu sau ba ngày. Một anh chàng ở Berlin chỉ đơn giản là ghé vào MediaMarkt chính hãng, mua một chiếc Ledger Nano X mới tinh, cài đặt theo hướng dẫn và chuyển coin vào. Số dư – về không. Giao dịch bay thẳng đến ví đã bị đánh dấu trong cơ sở dữ liệu hack của CryptoBilis. Không cần phishing, không cần để lộ seed phrase dưới bàn phím. Bên trong là một con chip đã bị biến đổi với module LTE siêu nhỏ – nói ngắn gọn, chiếc ví tự kết nối mạng và tuồn khóa cho hacker.

Thật nghiệt ngã.

MediaMarkt rút Ledger khỏi kệ hàng

MediaMarktSaturn đã tạm dừng bán toàn bộ phần cứng từ Ledger trên toàn hệ thống. Các trung tâm dịch vụ tại Đức và Áo thực sự bị quá tải bởi các khiếu nại về việc ví tự hoạt động theo ý riêng. Trước đây, mọi người nghĩ đây thuần túy là câu chuyện ở một số khu vực nhất định với các đại lý không chính thức như CryptoBilis. Giờ thì rõ rồi: lô hàng bị nhiễm mã độc đã lọt vào các kênh chính ngạch của Liên minh Châu Âu.

Thủ đoạn đơn giản đến mức kinh hãi. Lô hàng bị đánh tráo trên đường từ kho, hộp bị khò nhiệt mở khéo léo, và các linh kiện nhà máy bị thay bằng bảng mạch tùy chỉnh có gắn bộ phát tín hiệu. Trên hộp vẫn còn tem niêm phong gốc, tem phản quang vẫn y nguyên – không có gì để chê trách. Thiết bị cứ thế nằm chờ cho đến khi bạn tạo seed phrase, và ngay lập tức bắn nó qua trạm phát sóng di động tới một máy chủ từ xa. Ledger hiện đang đổ lỗi cho bên vận chuyển, nhưng dư vị để lại vẫn rất đắng: khái niệm «két sắt sắt» đã xuất hiện vết nứt khổng lồ.

$93 triệu biến mất vào hư không

Trong khi Ledger cố gắng truy vết $93 triệu bị thất thoát qua các thiết bị từ CryptoBilis, lỗ hổng thực tế chắc chắn còn sâu hơn. Đúng là phía Pháp đã đóng băng được khoảng $10 triệu trên các sàn CEX – chỉ như muối bỏ bể. Phần còn lại đã sớm được trộn qua Tornado Cash và các cầu nối.

Thực sự bế tắc. Bạn mua một thiết bị phần cứng để thoát khỏi các bên trung gian, nhưng cuối cùng Bitcoin của bạn lại phụ thuộc vào sự trung thực của một nhân viên hải quan hay một thủ kho buồn ngủ ở Ba Lan. Nếu ví bị hàn lại ngay trước khi lên kệ, thì từ «lạnh» hoàn toàn mất đi ý nghĩa.

Thị trường phản ứng ngay lập tức:

• Một số người hoảng loạn và chuyển sang dùng ThinkPad cũ không có card Wi-Fi.
• Các quỹ vui mừng thúc đẩy Bitcoin ETF – kiểu như, hãy vứt mấy món đồ sắt đi, đưa coin cho các bên lưu ký với bảo hiểm hàng tỷ đô.

Cuộc chiến quan điểm: ETF đối đầu với «phần cứng»

Cuộc tranh luận về ETF và ví cá nhân lại bùng lên mạnh mẽ. Trước đây chúng ta vẫn thường tụng như lời nguyền: «Not your keys, not your coins». Vào năm 2026, câu nói này nghe thật mỉa mai. Nếu khóa được lưu trong một con chip đã bị tráo bên trong – thì chúng thực sự thuộc về ai?

Các quỹ đánh vào điểm yếu đó. Tại sao phải mạo hiểm với khoản tiền gửi và mua một món đồ sắt đầy bất ngờ, nếu bạn có thể mua chứng chỉ ETF ngay từ tài khoản môi giới? Không có firmware lỗi, không có bảng mạch ẩn. Tuy nhiên, đổi lại bạn không nhận được Bitcoin, mà chỉ là một tờ biên nhận từ ngân hàng. Có biến gì là tài khoản bị đóng băng trong một giây.

Cách chúng tôi kiểm tra ví hiện nay

Mua một chiếc ví phần cứng và đổ toàn bộ tài sản vào ngay lập tức là một sự điên rồ. Đội ngũ chúng tôi đã thay đổi cách tiếp cận này.

Đây là các quy tắc:

• Soi vỏ máy dưới kính lúp với ánh sáng tốt – bất kỳ dấu vết keo hay khe hở nào cũng khiến thiết bị đi thẳng vào thùng rác.
• Không dùng ví đơn: chỉ dùng multisig 2-of-3, kết hợp các thương hiệu khác nhau (ví dụ: Coldcard cộng với Trezor). Ngay cả khi một cái bị lộ, tiền vẫn an toàn.
• Lồng Faraday. Thiết bị khi tắt được để trong túi bọc bảo vệ để module không thể kết nối với các trạm phát sóng.
• Theo dõi địa chỉ để phát hiện các giao dịch spam nhỏ và tấn công phủ bụi.

Các chi tiết kỹ thuật và phân tích tấn công được chúng tôi lưu giữ trong phần công cụ cho ví – ở đó thuần túy là thực hành, không có những thứ tiếp thị sáo rỗng.

Làm gì với tiền bẩn

Hacker hiện đang tích cực tẩu tán tài sản trộm được qua các lệnh P2P và các sàn giao dịch nhỏ. Thị trường đang thực sự bị ngập trong tiền mã hóa độc hại. Nếu bạn dính phải vết đen này trên sàn – tài khoản sẽ bị khóa cho đến khi làm rõ. Bạn sẽ mất hàng tháng trời để chứng minh với đội ngũ hỗ trợ rằng mình không phải là tài khoản rác.

Mỗi khoản giao dịch đến cần được kiểm tra trước khi coin rơi vào ví chính. AML-checker của chúng tôi xác định nguồn gốc chỉ trong một cú nhấp chuột. Nếu điểm rủi ro bẩn trên 50% – đơn giản là hãy hủy giao dịch.

Các nền tảng uy tín, những nơi đóng băng ngay lập tức ví của kẻ trộm và không tuồn tiền bẩn cho khách hàng, đã được chúng tôi tập hợp trong phần обзоры бирж.

Tương lai của việc tự lưu trữ

Thời của các giải pháp đóng gói sẵn đang dần kết thúc. Các nhà sản xuất không kiểm soát nổi chuỗi cung ứng – đó là sự thật. Sớm muộn mọi người sẽ tìm đến các thiết bị DIY như SeedSigner, khi các linh kiện được đặt mua rời rạc từ những người bán bảng mạch và màn hình không liên quan đến nhau.

MediaMarkt hiện vẫn im lặng, nhưng tại Vương quốc Anh, thêm hai chuỗi cửa hàng lớn đang chuẩn bị gỡ Ledger khỏi kệ – tin nội bộ đã được xác nhận. Đối với câu chuyện này, chúng tôi đã cấu trúc lại cách lưu trữ lạnh và cập nhật tỷ trọng trong danh mục đầu tư của chúng tôi. Không còn niềm tin vào những chiếc hộp từ nhà máy nữa.