Nhà nghiên cứu bảo mật Joe Grand nói với Cointelegraph hôm thứ Ba rằng không thể thực tế kỳ vọng những người sở hữu tiền điện tử thông thường có thể phát hiện việc can thiệp tinh vi vào ví phần cứng.
Grand chuyên về bảo mật phần cứng và từng giúp khôi phục tiền điện tử từ các ví bị khóa. Công việc của ông bao gồm phát triển các kỹ thuật vượt qua biện pháp bảo vệ bảo mật và trích xuất dữ liệu từ các chip nhớ được sử dụng trong những chiếc ví do Trezor và KeepKey sản xuất.
“Thật sự rất khó giải thích cho mọi người rằng họ phải kiểm tra thiết bị của mình như thế nào, bởi ngay cả những người am hiểu kỹ thuật như tôi cũng không kiểm tra từng thiết bị để xem nó có bị can thiệp hay không,” Grand nói.
Những lo ngại này xuất hiện hôm thứ Sáu sau khi có thông tin về các khoản thiệt hại tiền điện tử liên quan đến những thiết bị Ledger được bán qua CryptoBilis, một nhà bán lẻ được liệt kê là được ủy quyền tại Indonesia, Malaysia và Philippines. Ledger xác nhận hôm thứ Bảy rằng một thiết bị bị ảnh hưởng có chứa một bộ phận cấy ghép trái phép.
Nhà sản xuất ví phần cứng của Pháp cho biết các bộ phận cấy ghép độc hại trong những chiếc ví Ledger được CryptoBilis bán đã thu thập cụm từ khôi phục của người dùng và truyền chúng qua mạng di động.
Kiểm soát nhiều hơn không đồng nghĩa với ít niềm tin hơn
Ví phần cứng được thiết kế để giữ khóa riêng ngoại tuyến, qua đó giảm mức độ phơi nhiễm trước các cuộc tấn công trực tuyến có thể nhắm vào ví phần mềm.
Một số ví phần cứng đã trở nên phổ biến trên toàn cầu, và mạng lưới phân phối của chúng tạo ra cơ hội cho việc can thiệp vào chuỗi cung ứng.
Nhà phân tích tiền điện tử Mati Greenspan nói với Cointelegraph rằng ông chưa bao giờ sử dụng ví phần cứng, dù đã hoạt động trong ngành từ năm 2013, vì ông thấy việc thêm một chuỗi tin cậy khác mang lại rất ít giá trị.
Liên quan: MediaMarktSaturn rút các sản phẩm Ledger giữa những báo cáo về việc can thiệp
“Khi mua một chiếc ví phần cứng, bạn đang đưa vào một chuỗi tin cậy hoàn toàn mới, từ nhà sản xuất đến nhà cung cấp, rồi đến bất kỳ ai đã xử lý thiết bị trước khi nó đến tay bạn,” Greenspan nói.
Nick Neuman, CEO của công ty bảo mật Bitcoin Casa, nói rằng không thể hoàn toàn tránh việc đặt niềm tin vào bên thứ ba. “Luôn có một bên trung gian mà bạn sẽ cần tin cậy,” ông nói, đồng thời cho biết người dùng nên phân tán rủi ro giữa nhiều nhà cung cấp thay vì chỉ dựa vào một nhà cung cấp.
Kiểm tra bảo mật không thể phát hiện mọi thứ
Trezor, một trong những đối thủ chính của Ledger, cho biết các thiết bị của họ trải qua những cuộc kiểm tra tính xác thực và chỉ chấp nhận firmware đã được ký, nhưng thừa nhận rằng các biện pháp bảo vệ này không thể loại trừ khả năng can thiệp vật lý.
“Bạn cũng có thể kiểm tra xem bao bì và tem ba chiều còn nguyên vẹn hay không, đồng thời tìm những dấu hiệu bất thường trên thiết bị, nhưng chỉ những kiểm tra này không thể đảm bảo rằng thiết bị chưa bị sửa đổi,” một người phát ngôn của Trezor nói với Cointelegraph.
Liên quan: Ledger yêu cầu các nhà bán lẻ ngừng bán hàng tại Đông Nam Á và Hong Kong
Công ty cho biết các bộ phận cấy ghép được phát hiện trong những thiết bị Ledger đặt ra một thách thức khác vì chúng thu thập thông tin từ màn hình mà không sửa đổi firmware. Trezor cho biết họ chưa quan sát thấy kiểu tấn công này trên các thiết bị của mình.
Hôm thứ Ba, Trezor thông báo rằng họ sẽ giảm số lượng nhà bán lẻ như một bước đi “mang tính phòng ngừa”.
Thiết kế ví phần cứng có thể giảm rủi ro bị can thiệp
Grand đề xuất một số thay đổi về thiết kế vật lý, từ vỏ trong suốt để lộ các linh kiện bên trong đến những vỏ chống can thiệp, buộc kẻ tấn công phải tái tạo lớp vỏ để che giấu các sửa đổi.
“Đối phương sẽ khó đưa thêm phần cứng vào thiết bị hơn nhiều, vì họ sẽ phải tái tạo toàn bộ lớp vỏ,” ông nói.
Nhà nghiên cứu bảo mật cũng dẫn các khuyến nghị về thiết kế chống can thiệp của kỹ sư điện tử Dave Jones, đồng thời cảnh báo rằng không nên chỉ dựa vào những biện pháp như vậy. Chúng có thể khiến các cuộc tấn công vào chuỗi cung ứng trở nên khó thực hiện hơn, nhưng sẽ không loại bỏ rủi ro.
Tạp chí: Vụ tấn công Ledger lan sang EU, AI phát hiện lỗi “18 nghìn tỷ XRP”: Bản tổng hợp của Hodler