Một chiếc Ledger giả có thể làm cạn kiệt toàn bộ ví của bạn chỉ trong vài phút. Ngay cả khi nó trông giống thật. Ngay cả khi nó được bọc kín. Ngay cả khi bạn nhận được nó "miễn phí." Dưới đây là những gì thực sự đang xảy ra và lý do tại sao bạn không bao giờ nên sử dụng một chiếc Ledger nhận được qua các chương trình tặng quà, qua bưu điện hoặc tại các hội nghị.

Một kỹ sư phần mềm tên là Brian nghĩ rằng anh đang làm mọi thứ đúng cách. Anh đã mua BTC và ETH. Anh sử dụng Ledger Nano X để lưu trữ lạnh. Anh không bao giờ chia sẻ khóa của mình trực tuyến. Rồi một ngày, một chiếc Ledger mới đã đến trước cửa nhà anh. Được bọc kín. Thương hiệu chính thức. Một bức thư "từ CEO." Thông điệp nói rằng đó là một sự thay thế miễn phí sau vụ rò rỉ dữ liệu năm 2020 và khuyến khích anh di chuyển ngay lập tức "vì lý do an ninh." Nó có vẻ hợp lệ. Đó là cái bẫy.

Brian đã cắm thiết bị vào. Cài đặt ứng dụng. Nhập cụm từ phục hồi 24 từ của mình. Trong vòng 30 phút, ví lạnh của anh ấy đã bị rút sạch. ~78.000 đô la đã biến mất. Không có hack. Không có khai thác. Chỉ là kỹ thuật xã hội + can thiệp phần cứng.

Thực sự bên trong thiết bị là gì? Ledger đã bị sửa đổi về mặt vật lý. Kẻ tấn công đã hàn một ổ đĩa flash ẩn trực tiếp lên bo mạch, về cơ bản là "một USB gắn vào Ledger." Khi được kết nối, nó đã cung cấp phần mềm độc hại mà: - Trông giống như Ledger Live - Yêu cầu nhập cụm từ khôi phục "di chuyển" - Lấy cắp các khóa ngay lập tức Từ bên ngoài, nó không thể phân biệt được với một thiết bị thật. Ngay cả những bức ảnh tháo rời cũng cho thấy nó thuyết phục như thế nào so với một Ledger chính hãng.

Tại sao điều này lại hiệu quả đến vậy Vụ xâm phạm năm 2020 đã lộ ra hơn 272,000 tên thật và địa chỉ Ngoài ra - Thư được cá nhân hóa - Thương hiệu chính xác - Tên của các giám đốc điều hành thật được sử dụng - Sự khẩn cấp cảm thấy rất thật

Không bao giờ tin tưởng một ví phần cứng mà: - Được gửi đến bạn mà không yêu cầu - Được phát tại các hội nghị - Đến từ một gian hàng "quà tặng" - Được cấu hình sẵn hoặc yêu cầu bạn nhập seed ngay lập tức Không có cái gọi là "Ledger miễn phí an toàn."

Mua ví phần cứng trực tiếp từ nhà sản xuất Khởi tạo thiết bị tự mình Nếu một thiết bị bao giờ yêu cầu hạt giống của bạn ngoài việc thiết lập offline ban đầu → nó đã bị xâm phạm Lưu trữ lạnh chỉ hoạt động nếu bạn kiểm soát toàn bộ chuỗi cung ứng.