Mục lục
Toggle
Ngày 5/3, nhà cung cấp ví cứng Trezor đã công bố một lỗ hổng tiềm ẩn trên mẫu ví tiền điện tử đời cũ của mình. Mặc dù đây chủ yếu là một cuộc tấn công “lý thuyết”, nhưng nó có thể ảnh hưởng đến những người dùng mua lại thiết bị từ bên thứ ba.
Lỗ hổng này được phát hiện sau khi đối thủ cạnh tranh của Trezor, Ledger, thông báo về vấn đề. Ngày 6/3, Ledger đã cung cấp thêm chi tiết về cách thức tấn công này hoạt động. Nhóm bảo mật Donjon của Ledger đã sử dụng lại một kỹ thuật tấn công chuỗi cung ứng vật lý để kiểm tra độ an toàn của Trezor Safe 3 – mẫu ví ra mắt năm 2023 – và xác nhận rằng thiết bị này vẫn tồn tại rủi ro bảo mật.
Tấn công nhắm vào vi điều khiển của Trezor Safe 3
Theo Trezor, cuộc tấn công khai thác điểm yếu trên vi điều khiển – con chip xử lý thao tác người dùng và ký giao dịch – bằng kỹ thuật “voltage glitching”. Nếu kẻ tấn công có quyền truy cập vật lý vào thiết bị, hắn có thể tháo rời vi điều khiển, thay đổi điện áp một cách chính xác để đánh lừa thiết bị, từ đó truy xuất dữ liệu bộ nhớ. Điều này có thể giúp hacker cài đặt phần mềm độc hại, tiết lộ cụm từ khôi phục (seed phrase) và đánh cắp tài sản bên trong ví.
Tuy nhiên, Trezor khẳng định cuộc tấn công này không ảnh hưởng đến hầu hết các sản phẩm của hãng, bao gồm Trezor Safe 5, Trezor Model One và Model T. Đồng thời, việc thực hiện cuộc tấn công đòi hỏi kỹ năng cao và môi trường đặc biệt, khiến nó khó trở thành mối đe dọa phổ biến. Do đó, Trezor không yêu cầu người dùng Safe 3 hành động ngay lập tức, đặc biệt nếu thiết bị được mua từ nguồn chính thức.
Biện pháp bảo mật trên các mẫu Trezor mới
Để giảm thiểu rủi ro, Trezor đã tích hợp tính năng “passphrase” – mật khẩu bổ sung không lưu trên thiết bị – giúp tăng cường bảo mật cho bản sao lưu ví. Ngoài ra, hãng cũng triển khai các lớp bảo vệ nâng cao như kiểm tra tính toàn vẹn của firmware. Đặc biệt, mẫu Trezor Safe 5 sử dụng vi điều khiển STM32U5 chống voltage glitching, giúp hạn chế nguy cơ tấn công vật lý.
Lỗ hổng bảo mật trên Trezor Safe 3 là lời nhắc nhở rằng ngay cả ví cứng cũng không miễn nhiễm với các mối đe dọa vật lý. Người dùng được khuyến nghị chỉ mua thiết bị từ nguồn chính hãng và luôn kích hoạt các tính năng bảo mật bổ sung để bảo vệ tài sản tiền điện tử.
Muốn nhận tin tức sớm nhất về thị trường và các dự án? Anh em hãy tham gia tại đây nhé.
