Cảnh báo thiết bị phần cứng Trezor bị can thiệp trái phép để đánh cắp khóa khôi phục

• Phát hiện mối đe dọa: Một thiết bị phần cứng nghi vấn được cấy vào ví Trezor Safe 5, có khả năng đánh cắp cụm từ khôi phục (recovery phrase) và truyền dữ liệu qua mạng di động.
• Phạm vi ảnh hưởng: Cảnh báo áp dụng cho tất cả các thiết bị Trezor mua từ nhà bán lẻ CryptoBilis kể từ tháng 3 năm 2026.
• Khuyến nghị khẩn cấp: Người dùng cần ngay lập tức chuyển tài sản sang một ví mới với cụm từ hạt giống (seed phrase) hoàn toàn mới.
• Cảnh báo an toàn: Không nên cố gắng tự mở hoặc kiểm tra thiết bị tại nhà vì không có phương pháp xác thực đáng tin cậy.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo nghiêm trọng về một chiến dịch tấn công chuỗi cung ứng nhắm vào ví phần cứng Trezor Safe 5. Theo báo cáo, một thiết bị phần cứng độc hại đã được phát hiện bên trong ví, có khả năng đánh cắp cụm từ khôi phục của người dùng và truyền tải dữ liệu này ra bên ngoài thông qua một module mạng di động tích hợp. Mặc dù hiện tại mới chỉ ghi nhận một trường hợp cụ thể, Trezor đã chủ động đưa ra cảnh báo cho tất cả khách hàng mua thiết bị từ nhà bán lẻ CryptoBilis kể từ tháng 3 năm 2026.

Phân tích kỹ thuật về cơ chế tấn công phần cứng

Dựa trên thông tin từ khách hàng tại Indonesia, thiết bị bị can thiệp có cấu trúc phần cứng bổ sung nằm giữa bo mạch chủ của ví và màn hình hiển thị. Đây là một kỹ thuật tấn công vật lý tinh vi, cho phép kẻ tấn công vượt qua các lớp bảo mật phần mềm cốt lõi của thiết bị.

Cơ chế hoạt động của thiết bị cấy ghép (Implant)

• Can thiệp hiển thị: Thiết bị độc hại được thiết kế để đọc dữ liệu trực tiếp từ kết nối màn hình. Khi người dùng thực hiện thiết lập ví hoặc khôi phục, các từ khóa bảo mật hiển thị trên màn hình sẽ bị module này ghi lại.
• Truyền dữ liệu qua mạng di động: Module tích hợp bao gồm một bộ thu phát sóng di động và ăng-ten, cho phép gửi dữ liệu đã đánh cắp về máy chủ C2 (Command and Control) của kẻ tấn công ngay khi thiết bị được cấp nguồn.
• Kỹ thuật né tránh: Bằng cách nhắm vào thông tin hiển thị thay vì cố gắng bẻ khóa mã hóa phần mềm, kẻ tấn công có thể thu thập cụm từ khôi phục mà không để lại dấu vết trong nhật ký hệ thống của ví.

Mặc dù các chi tiết kỹ thuật chính xác vẫn đang được phòng thí nghiệm bảo mật của Trezor phân tích, phương thức này cho thấy sự tương đồng với các cuộc tấn công vật lý vào ví Ledger trước đó cũng thông qua cùng một nhà bán lẻ. Việc can thiệp vào kết nối màn hình là một điểm yếu chí mạng, vì nó cho phép kẻ tấn công thu thập dữ liệu nhạy cảm ngay tại thời điểm người dùng tương tác với thiết bị.

Bảng tổng hợp các thực thể liên quan

Hướng dẫn xử lý và giảm thiểu rủi ro cho người dùng

⚠️ Cảnh báo quan trọng: Việc di chuyển cụm từ khôi phục cũ sang một thiết bị khác không giải quyết được rủi ro, vì cụm từ này đã bị lộ. Người dùng bắt buộc phải tạo một ví mới với cụm từ hạt giống hoàn toàn mới.

Để đảm bảo an toàn tài sản, người dùng cần thực hiện các bước sau:

• Tạo ví mới: Thiết lập một ví phần cứng mới hoặc ví phần mềm an toàn, sau đó tạo một cụm từ khôi phục mới.
• Chuyển tài sản: Thực hiện chuyển toàn bộ số dư từ ví cũ sang địa chỉ ví mới. Hãy kiểm tra kỹ địa chỉ nhận trước khi xác nhận giao dịch.
• Ngừng sử dụng thiết bị nghi vấn: Nếu bạn sở hữu thiết bị mua từ CryptoBilis sau tháng 3 năm 2026, hãy ngừng sử dụng ngay lập tức và liên hệ với bộ phận hỗ trợ chính thức của Trezor.
• Cảnh giác với lừa đảo: Kẻ tấn công có thể lợi dụng sự cố này để gửi email hoặc tin nhắn giả mạo hỗ trợ kỹ thuật nhằm đánh cắp cụm từ khôi phục. Hãy nhớ rằng, bộ phận hỗ trợ chính thức không bao giờ yêu cầu người dùng cung cấp cụm từ khôi phục.

Hiện tại, Trezor đang phối hợp chặt chẽ với các bên liên quan, bao gồm cả Ledger và các tổ chức an ninh mạng như SEAL 911, để điều tra sâu hơn về nguồn gốc của các thiết bị bị can thiệp. Người dùng có thể tham khảo thêm thông tin tại các kênh truyền thông chính thức của hãng để cập nhật các hướng dẫn mới nhất về quy trình đổi trả thiết bị.