Trezor ngày 30/10 cho biết đang điều tra một báo cáo liên quan đến ví cứng Trezor Safe5 mua từ nhà bán lẻ CryptoBilis tại Đông Nam Á, sau khi xuất hiện nghi vấn rằng thiết bị bị cấy thêm phần cứng lạ có khả năng đọc cụm từ khôi phục hiển thị trên màn hình và gửi ra ngoài qua mạng di động.

Thông tin được Trezor công bố trên blog chính thức. Theo hãng, cơ chế của phần cứng nghi vấn này có dấu hiệu tương tự một vụ việc từng được ghi nhận với thiết bị Ledger.

Báo cáo được gửi qua chương trình responsible disclosure hôm 28/10. Người báo cáo là một khách hàng tại Indonesia, đã mua thiết bị vào tháng 8 trên nền tảng thương mại điện tử Tokopedia.

Theo mô tả, giữa bo mạch chính và màn hình của thiết bị xuất hiện thêm một bo mạch khác, gắn kèm mô-đun di động và ăng-ten. Bộ phận này được cho là có thể đọc cụm từ khôi phục (seed phrase) khi hiển thị trên màn hình, sau đó gửi dữ liệu ra ngoài trong lúc thiết bị được kết nối.

Trezor cho biết chưa thể tự xác minh trực tiếp thiết bị do hiện chưa nhận được sản phẩm. Dù vậy, sau khi rà soát hình ảnh và phỏng vấn qua video, hãng đánh giá báo cáo này có độ tin cậy nhất định. Người báo cáo cho hay đã phát hiện bất thường sau khi nhận thấy trọng lượng thiết bị có chênh lệch.

Theo Trezor, việc công bố sớm được đưa ra vì nếu chờ kiểm định trực tiếp trong phòng thí nghiệm, người dùng có thể tiếp tục đối mặt với rủi ro. Khách hàng gửi báo cáo đã chuyển tài sản đi trước khi phát hiện phần cứng lạ, và đến nay chưa ghi nhận thiệt hại. Danh tính bên đứng sau vụ việc hiện chưa được xác định.

Trezor cũng cho biết đang chia sẻ thông tin với các bên liên quan trong quá trình điều tra, trong đó có Ledger.

Hãng khuyến nghị những người đã mua thiết bị từ CryptoBilis kể từ tháng 3 cần sớm chuyển tài sản sang một ví mới được khởi tạo bằng seed phrase mới. Trezor nhấn mạnh việc dùng cụm từ khôi phục đã tạo trên thiết bị nghi vấn để khôi phục sang thiết bị khác không phải là giải pháp an toàn.

Trong trường hợp chưa có ví cứng khác, người dùng có thể tạm thời chuyển tài sản sang ví phần mềm hoặc sàn giao dịch. Với các thiết bị chưa sử dụng, Trezor khuyến cáo không kích hoạt thiết bị và không nhập bất kỳ seed phrase hay bản sao lưu nào đang có.

Khuyến nghị này không chỉ áp dụng với Safe5 mà với toàn bộ sản phẩm Trezor mua từ CryptoBilis, bao gồm cả các gian hàng do đơn vị này vận hành trên Tokopedia. Trezor đồng thời lưu ý việc cân thiết bị hoặc tự tháo mở để kiểm tra không phải là cách xác minh đáng tin cậy.

Người dùng có thể giữ lại thiết bị và liên hệ bộ phận hỗ trợ để nhận thiết bị thay thế hoặc voucher tương ứng với giá trị đơn hàng. Trezor cũng cảnh báo nguy cơ các chiêu trò phishing gia tăng sau vụ việc, đồng thời nhấn mạnh người dùng không nên tiết lộ cụm từ khôi phục cho bất kỳ ai.

Trước đó, từ ngày 9/10, khi xuất hiện các báo cáo liên quan đến việc thiết bị Ledger bị can thiệp, Trezor đã loại CryptoBilis khỏi danh sách kênh bán hàng. Hãng cho biết đến nay chưa nhận thêm báo cáo tương tự liên quan đến các nhà bán lẻ khác.