Khi các rủi ro bảo mật tài sản số không ngừng biến đổi, kẻ tấn công không còn chỉ nhắm đến các nền tảng giao dịch và tài khoản người dùng. Ví phần cứng cũng có thể trở thành điểm xâm nhập cho các cuộc tấn công trong quá trình mua sắm, vận chuyển và giao hàng.
Nếu một thiết bị bị chặn, bị thay thế hoặc bị chỉnh sửa ác ý trong quá trình phân phối, thiết bị đó có thể gây rủi ro cho an toàn tài sản của người dùng, ngay cả khi bề ngoài không khác gì sản phẩm chính hãng.
Gate nhắc nhở tất cả người dùng rằng khi mua và sử dụng ví phần cứng, không nên chỉ quan tâm đến thương hiệu và giá cả. Việc xác minh nguồn gốc thiết bị, kênh giao hàng và các bước kiểm tra bảo mật sau đó cũng quan trọng không kém.
I. Đầu độc chuỗi cung ứng phần cứng là gì?
Đầu độc chuỗi cung ứng phần cứng là hình thức kẻ tấn công khai thác các lỗ hổng trong những khâu như sản xuất thiết bị, lưu kho, vận chuyển, phân phối hoặc giao hàng để thay thế, can thiệp hoặc cài cắm các thành phần độc hại vào thiết bị.
Ví dụ: người dùng có thể mua ví phần cứng qua một kênh hợp pháp, nhưng thiết bị có thể bị bên thứ ba chặn lại trong quá trình vận chuyển hoặc bán lại. Kẻ tấn công có thể sửa đổi các thành phần bên trong, can thiệp vào phần sụn hoặc làm giả bao bì và tài liệu chính thức trước khi giao thiết bị cho người dùng.
Một số cuộc tấn công cũng có thể sử dụng kỹ thuật lừa đảo giả mạo. Kẻ tấn công có thể gửi những thông báo được gọi là thông báo bảo mật, yêu cầu người dùng cài đặt phần mềm được chỉ định, quét mã QR hoặc nhập lại ví. Khi người dùng nhập cụm từ hạt giống hoặc khóa riêng tư theo hướng dẫn, tài sản của họ có thể đối mặt với nguy cơ bị đánh cắp.
Kraken Security Labs đã công bố nghiên cứu về các cuộc tấn công chuỗi cung ứng nhắm vào ví phần cứng Ledger Nano X, trong đó lưu ý rằng thiết bị có thể bị can thiệp trước khi đến tay người dùng, chẳng hạn như bị chặn trong quá trình vận chuyển hoặc đến tay người dùng thông qua các kênh bán lại độc hại. Tính đến ngày cập nhật bài viết, thông tin công khai cho thấy gói phụ thuộc giao diện người dùng Ledger Connect Kit đã bị tấn công chuỗi cung ứng. Các phiên bản bị ảnh hưởng đã được xác nhận của ledgerhq/connect-kit là: 1.1.5, 1.1.6 và 1.1.7. Các phiên bản này chứa mã độc được thiết kế để dẫn dụ hoặc thay thế giao dịch khi người dùng kết nối ví hoặc tương tác với DApp, từ đó đánh cắp tài sản. Tham khảo: Từ những bất thường trong chuỗi cung ứng đến nghi vấn cài cắm phần cứng: Phân tích đầy đủ về sự cố đánh cắp tài sản của người dùng Ledger
Điều quan trọng cần lưu ý là bao bì nguyên vẹn và thiết bị có thể khởi động bình thường không nhất thiết có nghĩa là thiết bị an toàn. Một số chỉnh sửa độc hại có thể khó nhận biết bằng cách kiểm tra trực quan.
II. Rủi ro của các cuộc tấn công chuỗi cung ứng phần cứng là gì?
Chức năng cốt lõi của ví phần cứng là giúp người dùng lưu trữ khóa riêng tư và ký giao dịch một cách an toàn. Nếu chính thiết bị bị can thiệp, các biện pháp bảo vệ ban đầu của thiết bị có thể bị xâm phạm.
Các thành phần độc hại được cài cắm trong thiết bị: Các thành phần độc hại hoặc phần sụn đã bị can thiệp có thể ảnh hưởng đến hoạt động bình thường của thiết bị, làm tăng nguy cơ rò rỉ thông tin và các vấn đề về an toàn giao dịch.
Phần mềm giả mạo nhằm dẫn dụ người dùng thực hiện hành động: Kẻ tấn công có thể sử dụng phần mềm quản lý ví giả, thông báo nâng cấp gian lận hoặc hướng dẫn hỗ trợ khách hàng giả mạo để lừa người dùng tự nguyện tiết lộ cụm từ hạt giống và khóa riêng tư.
Mất quyền kiểm soát tài sản: Khi kẻ tấn công có được cụm từ hạt giống hoặc khóa riêng tư hợp lệ, chúng có thể khôi phục ví trên một thiết bị khác và chuyển tài sản đi.
Ngay cả khi người dùng đã bật xác thực hai yếu tố cho tài khoản trên nền tảng giao dịch, biện pháp này cũng không thể ngăn chặn hoàn toàn các rủi ro do thiết bị phần cứng bị can thiệp hoặc thông tin xác thực ví bị rò rỉ gây ra. Bảo mật tài khoản, bảo mật thiết bị và quản lý khóa riêng tư đều cần được duy trì đúng cách; chúng không thể thay thế cho nhau!
III. Làm thế nào để giảm thiểu rủi ro?
Mua thiết bị qua các kênh đáng tin cậy
Khi mua ví phần cứng, hãy ưu tiên chọn trang web chính thức của thương hiệu hoặc các kênh được ủy quyền đã được xác minh. Hãy thận trọng với các thiết bị không rõ nguồn gốc, có mức giá rõ ràng bất thường hoặc người bán không thể xác minh tư cách.
Kiểm tra thiết bị trước khi sử dụng
Kiểm tra xem bao bì, niêm phong, số sê-ri và hình thức bên ngoài của thiết bị có dấu hiệu bất thường hay không, đồng thời xác minh thông tin thiết bị qua các kênh chính thức của nhà sản xuất. Khi sử dụng thiết bị lần đầu, hãy làm theo hướng dẫn chính thức để hoàn tất quá trình khởi tạo và xác minh phần sụn. Nếu thiết bị đã được khởi tạo, xác minh không thành công hoặc quy trình có dấu hiệu bất thường, đừng vội nhập tài sản.
Bảo vệ cụm từ hạt giống và khóa riêng tư của bạn
Cụm từ hạt giống và khóa riêng tư là những thông tin thiết yếu để kiểm soát tài sản trong ví của bạn. Không ai được phép yêu cầu bạn cung cấp những thông tin này qua trò chuyện, email, trang web hoặc hỗ trợ từ xa.
Dù đối phương tự nhận là bộ phận hỗ trợ khách hàng của Gate, nhà sản xuất phần cứng hay nhân viên bảo mật, đừng tin vào các yêu cầu cung cấp cụm từ hạt giống hoặc khóa riêng tư. Bạn cũng tuyệt đối không được nhập cụm từ hạt giống trên các trang web hoặc trong phần mềm không rõ nguồn gốc.
Không tùy tiện cài đặt phần mềm hoặc cập nhật phần sụn
Đối với việc kết nối thiết bị, cài đặt phần mềm và nâng cấp phần sụn, hãy dựa vào thông tin được cung cấp qua các kênh chính thức của nhà sản xuất. Với các liên kết, mã QR, gói nâng cấp không chính thức hoặc thông báo yêu cầu chuyển tài sản khẩn cấp mà bạn không quen thuộc, hãy xác minh tính xác thực trước. Đừng hành động vội vàng chỉ vì ai đó nói rằng tài khoản của bạn đang gặp rủi ro.
Nếu phát hiện bất kỳ điều gì bất thường, hãy ngừng sử dụng thiết bị ngay lập tức
Nếu thiết bị có dấu hiệu bị tháo rời hoặc sửa đổi, xác minh phần sụn không thành công hoặc quá trình khởi tạo bất thường, hãy ngừng sử dụng thiết bị và liên hệ các kênh hỗ trợ chính thức của nhà sản xuất để xác minh tình trạng.
Nếu bạn nghi ngờ cụm từ hạt giống hoặc khóa riêng tư của mình đã bị lộ, hãy sử dụng một thiết bị đáng tin cậy chưa bị ảnh hưởng để tạo ví mới trong môi trường an toàn và chuyển tài sản đến một địa chỉ an toàn sớm nhất có thể. Không tiếp tục sử dụng thiết bị có thể đã bị can thiệp để quản lý tài sản, đồng thời không nhập thông tin xác thực ví mới trên thiết bị bị nghi ngờ đã xâm phạm.
IV. Nhắc nhở bảo mật từ Gate
Các cuộc tấn công chuỗi cung ứng phần cứng có tính che giấu cao và rủi ro có thể phát sinh ngay cả trước khi bạn nhận được thiết bị. Do đó, bạn không nên cho rằng thiết bị hoàn toàn an toàn chỉ dựa trên nhãn hiệu, bao bì nguyên vẹn hoặc khả năng khởi động bình thường.
Gate nhắc nhở người dùng cần kiểm tra kỹ nguồn gốc thiết bị khi mua và sử dụng ví phần cứng, thận trọng với các thông báo không quen thuộc, đồng thời bảo vệ cụm từ hạt giống và khóa riêng tư một cách phù hợp. Khi không thể xác minh tính xác thực của thiết bị, ứng dụng phần mềm hoặc hướng dẫn thao tác, hãy xác minh trước khi thực hiện hành động.
Hãy nhớ: Sử dụng nguồn thiết bị đáng tin cậy, xác minh các bản cập nhật phần mềm và không bao giờ tiết lộ cụm từ hạt giống hoặc khóa riêng tư của bạn.
Bằng cách tuân thủ các biện pháp bảo mật cơ bản này, bạn có thể giảm thiểu tốt hơn các rủi ro tài sản liên quan đến các cuộc tấn công chuỗi cung ứng phần cứng.
Miễn trừ trách nhiệm
Nội dung được cung cấp ở đây chỉ mang tính chất tham khảo và cung cấp kiến thức, không cấu thành bất kỳ lời khuyên tài chính, đầu tư, giao dịch hoặc pháp lý nào, cũng như không phải là lời đề nghị hoặc lời mời mua hoặc bán bất kỳ tài sản kỹ thuật số nào. Gate không đưa ra bất kỳ tuyên bố hoặc bảo đảm nào, dù rõ ràng hay ngụ ý, về tính chính xác, đầy đủ hoặc kịp thời của thông tin được cung cấp ở đây. Các tính năng sản phẩm, giao diện, quy tắc và cấu trúc phí có thể được cập nhật hoặc điều chỉnh bất cứ lúc nào. Vui lòng tham khảo các thông báo mới nhất và thông tin thực tế được hiển thị trên nền tảng Gate để biết chi tiết chính xác nhất.
Đầu tư vào tài sản kỹ thuật số tiềm ẩn rủi ro đáng kể và giá cả có thể biến động mạnh. Bạn có thể mất toàn bộ số tiền đầu tư. Vui lòng đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn sau khi hiểu đầy đủ các rủi ro liên quan. Nếu cần, bạn nên tham khảo ý kiến của cố vấn tài chính hoặc pháp lý chuyên nghiệp độc lập.
Để biết thêm thông tin về các rủi ro tiềm ẩn, vui lòng tham khảo Tuyên bố về Rủi ro và Thỏa thuận Người dùng của Gate.
