Ngày 28 tháng 10, đội bảo mật của Trezor nhận được một báo cáo qua chương trình công bố lỗ hổng có trách nhiệm. Một người mua ở Indonesia đã tìm thấy trong chiếc Trezor Safe 5 của mình một bo mạch lạ: nó nằm giữa bo mạch chính và màn hình, mang theo một mô-đun di động và một ăng-ten. Theo lời người mua, bo mạch này đọc mọi thứ hiển thị trên màn hình, kể cả bản sao lưu của ví — cụm từ khôi phục — và gửi đi qua mạng di động mỗi khi thiết bị được kết nối. Chiếc ví được mua vào tháng 8 từ CryptoBilis — đại lý chính thức của Trezor ở Đông Nam Á cho đến tháng 10 — thông qua gian hàng của họ trên sàn Tokopedia.
Giờ đến những gì đã được xác nhận. Trezor viết rằng họ chưa nhận được chính thiết bị đó và chưa kiểm tra nó trong phòng thí nghiệm. Công ty có bản mô tả, ảnh và một cuộc phỏng vấn video với người mua, và cho rằng báo cáo đủ đáng tin để cảnh báo khách hàng mà không chờ kết quả phân tích. Cho đến nay, công ty chưa nhận được báo cáo nào về vụ trộm trong số khách mua của CryptoBilis. Bản thân người phát hiện đã rút tiền khỏi thiết bị trước khi tìm ra bo mạch. Tóm lại: một bo mạch trong một chiếc ví, và nó hoạt động chính xác ra sao thì đến giờ chỉ được biết qua lời kể của chủ nhân.
Phải làm gì nếu bạn mua Trezor từ CryptoBilis
Nếu bạn mua Trezor từ CryptoBilis kể từ tháng 3 năm 2026 — trực tiếp, trên Tokopedia hoặc tại một cửa hàng do họ cung cấp hàng — công ty khuyên bạn chuyển tiền sang một ví mới với cụm từ khôi phục mới càng sớm càng tốt. Khôi phục cụm từ cũ trên một thiết bị khác là vô ích: nếu nó đã bị nhìn trộm, bản sao của kẻ trộm sẽ không biến mất. Một thiết bị bạn chưa bắt đầu dùng thì tốt nhất đừng thiết lập, và tuyệt đối đừng nhập vào đó một cụm từ đã có. Trezor hứa đổi thiết bị miễn phí hoặc tặng phiếu mua hàng và đề nghị giữ lại chiếc ví mua từ CryptoBilis, Help Net Security cho biết. Công ty khuyên không nên cân hay mở thiết bị: không có cách nào đáng tin cậy để tự kiểm tra nó. Và hãy sẵn sàng đón nhận email, cuộc gọi, thậm chí cả thư giấy “từ bộ phận hỗ trợ” — bộ phận hỗ trợ thật của Trezor không bao giờ hỏi cụm từ khôi phục.
Vì sao chiêu này lại hiệu quả
Ở đây không cần bẻ khóa con chip bảo mật hay firmware. Thiết bị cấy chỉ cần dựa vào việc chiếc ví tự tạo cụm từ khôi phục và tự hiển thị nó trên màn hình của mình. Phần còn lại rất đơn giản: mua hoặc chặn một lô thiết bị, mở vỏ, hàn vào giữa bo mạch và màn hình một mô-đun đọc hình ảnh và có thể kết nối mạng di động, lắp lại cẩn thận, niêm phong rồi bán qua kênh chính thức nhất có thể. Sau đó chỉ việc chờ người mua chép các từ trên màn hình vào tấm thẻ trong hộp và nạp tiền vào ví. Ký giao dịch, con chip, ứng dụng — mọi thứ đều hoạt động như bình thường. Màn hình chỉ có thêm một người xem thứ hai. Vì vậy, câu hỏi đầu tiên trước khi mua bất kỳ chiếc ví nào là: liệu bên trong có chỗ cho một người xem như thế không? Ở một vật mang không có màn hình, pin, firmware và USB, chẳng có chỗ nào để nhét thêm một bo mạch, cũng chẳng có gì để cấp nguồn cho nó.
Ở lần kết nối đầu tiên, Trezor kiểm tra tính xác thực của thiết bị bằng con chip bảo mật và hứa hẹn sẽ xác nhận rằng nó “chính hãng và chưa bị sửa đổi”. Bo mạch ở Indonesia đã hành xử thế nào trong lần kiểm tra này, công ty vẫn chưa cho biết. Nhưng “con chip là chính hãng” và “không có gì được hàn bên cạnh nó” là hai khẳng định khác nhau, và chẳng ai đưa cho người mua câu trả lời cho câu hỏi thứ hai.
Những điểm yếu khiến kiểu tấn công này có thể xảy ra
- Cụm từ khôi phục do chính thiết bị tạo ra và hiển thị trên chính màn hình của nó. Ai nhìn thấy màn hình là nhìn thấy tiền.
- Không thể nhìn vào bên trong. Chính Trezor thừa nhận không có cách nào đáng tin cậy để tự kiểm tra thiết bị, và khuyên không nên mở nó.
- Trong vỏ có chỗ cho một bo mạch phụ, và cổng USB cấp nguồn cho nó mỗi lần kết nối.
- Trái tim của lớp bảo vệ là một secure element đóng. Firmware của Trezor là mã nguồn mở, nhưng chính xác bên trong chiếc máy của bạn có gì và người ta đã hàn thêm gì vào đó, người mua vẫn không thể kiểm tra.
- Người mua phải tin tất cả những ai từng cầm chiếc hộp: nhà máy, kho hàng, nhà phân phối, đại lý, sàn thương mại điện tử và người giao hàng. Như đã thấy, danh hiệu người bán chính thức chẳng đảm bảo được gì.
- Không có gì để kiểm tra phần cứng: theo chính Trezor, chiếc cân chẳng chứng minh được điều gì. Chỉ còn lại niềm tin.
Từ đó nảy ra thêm vài câu hỏi đáng đặt ra trước khi mua bất kỳ chiếc ví nào. Vật mang có đến tay bạn ở trạng thái trống hay không, để bạn tự tạo và tự mã hóa khóa trên chính điện thoại của mình — và khi đó ai cầm chiếc hộp trước bạn cũng không còn quan trọng? Có thể đọc những gì lưu trên đó bằng bất kỳ ứng dụng NFC nào và rải các bản sao đã mã hóa lên vài thẻ giá rẻ, để không phải tôn thờ một món phần cứng duy nhất hay không?
Hình ba chiều như một lá bùa
Nhãn dán ba chiều đáng được ngưỡng mộ riêng. Trên Safe 5, nó che cổng USB, hộp được bọc màng co, và hướng dẫn yêu cầu bạn kiểm tra xem tem niêm phong có còn nguyên vẹn, không rách và không có vết keo hay không. Ngày nay hình ba chiều được in theo đơn đặt hàng, theo lô, còn bọc lại màng cho một chiếc hộp cũng chẳng phải chiến công gì. Quan trọng nhất, thiết bị cấy không cần đụng đến cổng: nó sống bên trong, giữa bo mạch và màn hình. Nhãn dán trung thực nói đúng một điều: chưa ai bóc nó ra. Bên dưới nắp có gì, nó không biết và không thể biết. Đó không phải là bảo vệ, mà là liều thuốc an thần lấp lánh.
Niềm tin theo cả hai chiều
Rốt cuộc, người mua dựa vào hai giả định loại trừ lẫn nhau. Nhà sản xuất thông minh hơn anh ta nhiều đến mức có thể giao cho họ cả việc tạo khóa. Và tất cả những ai chạm vào chiếc hộp trên đường đi đều trung thực hơn — hoặc ngốc hơn — mức cần thiết để đánh tráo. Giờ Trezor hứa sẽ siết chặt việc thẩm định đại lý và giảm số lượng của họ. Đó là bước đi đúng, nhưng nó chỉ thu hẹp vòng tròn những người bạn phải tin, chứ không xóa bỏ chính sự cần thiết phải tin.
Có điều, truy đuổi CryptoBilis cũng giống như chặt đầu rắn chín đầu Hydra: đóng cửa một cửa hàng thì ba cửa hàng mới mọc lên thế chỗ. Vấn đề không nằm ở một người bán tồi, mà ở một mô hình cần đến người bán trung thực. Ở đâu đó trong thành phố của bạn, trên một sàn thương mại địa phương hay ở một tay buôn “uy tín”, những chiếc ví có thiết bị cấy có thể đã được bán từ lâu mà không ai hay biết. Dù sao đó cũng không phải một siêu thị điện máy lớn ở Đức, nơi các nhà nghiên cứu bảo mật hay ghé qua. Bo mạch ở Indonesia được tìm thấy chỉ vì một người mua tình cờ tinh ý và tự mình viết thư cho Trezor. Bao nhiêu người mua như thế đã không xuất hiện, không ai biết.
Gần đây chúng tôi đã đánh giá Tangem và Mitilena — kèm cả ưu lẫn nhược điểm. Nếu bạn không muốn phụ thuộc vào việc ai đã cầm chiếc hộp trước mình, hãy chọn những chiếc ví mà bạn tự tạo khóa và vật mang đến tay bạn ở trạng thái trống: khi đó, một tấm thẻ bị đánh tráo dọc đường chẳng còn giá trị gì — bạn chỉ việc ghi khóa đã mã hóa của riêng mình lên đó. Chẳng hạn như Mitilena.