Nhạc sĩ Garrett Dutton, tức G. Love, cho biết toàn bộ 5,92 BTC của ông đã bị đánh cắp sau khi nhập seed phrase vào một ứng dụng Ledger Live giả mạo trên Mac App Store. Số tiền này tương đương khoảng 424.000 USD và đến từ phần tiết kiệm hưu trí của ông.
Vụ việc thu hút chú ý vì cho thấy chỉ một thao tác nhập cụm từ khôi phục vào ứng dụng sai cũng có thể khiến ví bị rút sạch trong vài phút. Nó đồng thời nhắc lại rủi ro từ ứng dụng giả, hướng dẫn cài đặt mạo danh và các chiêu lừa nhắm vào người dùng ví phần cứng.
- 5,92 BTC của G. Love bị rút sạch sau khi ông nhập seed phrase vào app Ledger Live giả.
- BTC bị nghi được rửa qua KuCoin, nhưng khả năng thu hồi vẫn chưa rõ ràng.
- Ledger và các chuyên gia cảnh báo không bao giờ nhập seed phrase lên thiết bị kết nối internet.
G. Love bị mất Bitcoin như thế nào?
Ông đã tải nhầm một ứng dụng Ledger Live giả trên Mac App Store trong lúc thiết lập máy tính mới, sau đó nhập cụm seed phrase gồm 24 từ. Không lâu sau, toàn bộ số Bitcoin bị rút khỏi ví, trong khi các tài sản khác không bị ảnh hưởng.
Đây là kiểu tấn công “đánh vào con người” thay vì phá vỡ công nghệ ví. Khi nạn nhân tự cung cấp seed phrase, kẻ xấu có thể chiếm quyền kiểm soát hoàn toàn ví tiền điện tử mà không cần thêm bước xác thực nào khác.
Vì sao ứng dụng giả lại nguy hiểm?
Ứng dụng Ledger chính thức chỉ có trên Ledger.com và không được niêm yết trên các kho ứng dụng tiêu dùng. Vì vậy, bất kỳ app Ledger nào xuất hiện trên store phổ biến đều cần được xem là giả cho đến khi được xác minh rõ ràng.
Trong trường hợp này, ứng dụng độc hại đã yêu cầu người dùng nhập seed phrase 24 từ, thứ mà ví phần cứng không bao giờ nên yêu cầu trên một thiết bị có kết nối internet. Đây là dấu hiệu nhận biết quan trọng để tránh mất tài sản.
Các cảnh báo liên quan cũng nhấn mạnh rằng mọi thông báo yêu cầu “nâng cấp” hoặc cài lại Ledger Live hay Trezor Suite phải bị coi là lừa đảo nếu chưa được kiểm chứng qua kênh chính thức. Nhóm lừa đảo thường phát tán app giả qua email, quảng cáo giả và thư trực tiếp.
Bitcoin bị chuyển đi đâu và khả năng thu hồi ra sao?
ZachXBT cho biết số BTC bị đánh cắp đã được rửa qua KuCoin, nhưng khả năng lấy lại vẫn chưa chắc chắn. Ông cũng nói KuCoin đang gặp vấn đề kéo dài với việc các dịch vụ bất hợp pháp lạm dụng tài khoản môi giới và tài khoản cá nhân.
Diễn biến này đáng chú ý vì một khi tài sản đã qua các lớp trung gian và nhiều địa chỉ nạp khác nhau, việc truy vết và phong tỏa sẽ phức tạp hơn nhiều. Với nạn nhân, tốc độ phản ứng thường quyết định cơ hội hạn chế thiệt hại.
Cảnh báo mới về an ninh ví và AI
Ledger cho biết các tác nhân mã hóa bằng AI cũng đang bị tấn công ngay trên các công cụ mà chúng sử dụng. Dữ liệu được nêu cho thấy private key và seed phrase có thể bị lộ ở tầng phần mềm, thay vì ở lớp phần cứng.
Trong podcast mới của hãng, các kỹ sư Ledger bàn về việc AI agent có thể sớm được giao xử lý tiền thay người dùng. Tuy nhiên, việc này làm tăng yêu cầu bảo vệ danh tính, quyền truy cập và tính toàn vẹn của dữ liệu trong chuỗi xử lý.
Nhóm nghiên cứu cũng phát hiện 26 bộ định tuyến LLM của bên thứ ba âm thầm chèn lệnh độc hại và đánh cắp thông tin đăng nhập. Báo cáo cho thấy các router này có thể đọc dữ liệu JSON đang truyền mà không dùng cơ chế mã hóa để đảm bảo tính toàn vẹn từ phía client đến máy chủ mô hình.
Những câu hỏi thường gặp
G. Love mất bao nhiêu Bitcoin?
Ông cho biết đã mất 5,92 BTC, trị giá khoảng 424.000 USD.
Seed phrase bị lộ có nguy hiểm đến mức nào?
Rất nguy hiểm, vì người nắm được seed phrase có thể kiểm soát toàn bộ ví.
Ứng dụng Ledger chính thức có trên App Store không?
Không. Ledger cho biết ví của họ chỉ có trên Ledger.com, còn app trên cửa hàng tiêu dùng là giả.
BTC bị đánh cắp có thể thu hồi không?
ZachXBT cho biết chưa rõ khả năng thu hồi, nhất là khi tài sản đã bị rửa qua các dịch vụ trung gian.
Tổng kết
Vụ việc cho thấy rủi ro lớn nhất không chỉ nằm ở công nghệ ví mà còn ở việc người dùng nhập seed phrase vào ứng dụng không đáng tin. Với các giao dịch và công cụ liên quan đến crypto, xác minh kênh chính thức vẫn là bước kiểm tra quan trọng nhất.
