Thiết bị Ledger giả mua trên thị trường Trung Quốc gây ra cảnh báo mới về ví phần cứng

• Một nhà nghiên cứu an ninh mạng cho biết một thiết bị Ledger Nano S Plus giả mạo mua trên một chợ trực tuyến Trung Quốc đã không vượt qua kiểm tra xác thực tích hợp của Ledger Live.
• Nhà nghiên cứu sau đó đã kiểm tra firmware của thiết bị và nói rằng bằng chứng chỉ ra các thành phần liên quan đến Espressif Systems.

Một nhà nghiên cứu an ninh mạng cho biết họ đã phát hiện ra một thiết bị Ledger giả mạo tinh vi được bán qua một chợ trực tuyến Trung Quốc, góp phần vào danh sách ngày càng tăng các trò lừa đảo không còn chỉ dựa vào liên kết lừa đảo hoặc ứng dụng giả mạo. Đăng trên subreddit ledgerwallet dưới tên Past_Computer2901, nhà nghiên cứu nói rằng họ đã mua một thiết bị Ledger Nano S Plus có vẻ hợp pháp để sử dụng cá nhân. Thiết bị có giá giống như cửa hàng chính thức của Ledger, và nhìn qua danh sách và bao bì ban đầu có vẻ đủ thuyết phục. Thiết bị giả qua mắt thường, nhưng thất bại trong kiểm tra phần mềm Vấn đề chỉ rõ ràng sau khi thiết bị đến nơi. Khi nhà nghiên cứu kết nối nó với ứng dụng Ledger Live chính hãng đã cài đặt trên máy tính của họ, nó không vượt qua Kiểm tra Chính hãng tích hợp của Ledger. Đó là dấu hiệu đầu tiên rõ ràng cho thấy ví không phải hàng chính hãng. Theo nhà nghiên cứu, thiết bị giả không phải là một bản sao sơ sài được chế tạo rẻ tiền. Nó đã được thiết kế để trông đủ thật để lừa người mua, những người cho rằng một bao bì trông bình thường và giá thị trường là dấu hiệu của tính hợp pháp. Trong bài đăng của mình, nhà nghiên cứu nói rằng trải nghiệm này khiến họ cảm thấy sốc trước quy mô của hoạt động này. Họ bổ sung rằng cảnh báo này nhằm mục đích thông báo chứ không gây hoảng loạn cho người dùng. Phân tích firmware chỉ ra mối lo ngại sâu hơn về chuỗi cung ứng Trường hợp trở nên nghiêm trọng hơn sau khi nhà nghiên cứu kiểm tra firmware của thiết bị. Theo mô tả của họ, các chỉ số về mã và phần cứng chỉ ra Espressif Systems, một công ty bán dẫn Trung Quốc, gợi ý rằng thiết bị giả có thể đã được xây dựng dựa trên các thành phần không liên quan đến các thiết bị Ledger chính hãng. Điều này không chứng minh sự tham gia trực tiếp của công ty, nhưng cho thấy thiết bị giả đã được lắp ráp với đủ sự cẩn thận kỹ thuật để vượt qua việc sao chép đơn thuần về mặt hình thức. Đối với người dùng tiền điện tử, bài học này khá khó chịu nhưng rõ ràng. Ví phần cứng được thiết kế để giảm thiểu giả định về độ tin cậy, nhưng mua chúng từ các chợ không chính thức có thể tái tạo chính xác loại rủi ro mà chúng được tạo ra để loại bỏ. Trong trường hợp này, thiết bị giả chỉ bị phát hiện vì người mua đã sử dụng ứng dụng chính thức trước khi làm điều gì tồi tệ hơn, như nhập thông tin khôi phục vào một thiết bị chưa bao giờ chính hãng.