Theo dõi sự cố bảo mật ví tiền mã hóa
Tính đến 2026-10-25, chúng tôi theo dõi 60 sự cố bảo mật ảnh hưởng đến các ví tự lưu ký phổ biến và người dùng của chúng kể từ năm 2018, bao gồm 20 vụ hack, khai thác hoặc lỗ hổng được công bố và 5 vụ tấn công chuỗi cung ứng. Phần lớn thiệt hại của người dùng đến từ phishing, công cụ rút tiền (drainer) và ứng dụng giả mạo, chứ không phải do mật mã của ví bị phá vỡ.
Thông tin nhanh
- Những sự cố liên quan đến ví lớn nhất là gì?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Địa chỉ vanity Profanity (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- Sự cố gần đây nhất là gì?
- 2026-10-09: Các thiết bị Ledger bán qua CryptoBilis, một đại lý tại Đông Nam Á được Ledger liệt kê là được ủy quyền, mang một bộ cấy ẩn đọc cụm 24 từ trong quá trình thiết lập và gửi ra ngoài qua một mô-đun di động (LTE); Ledger xác nhận bộ cấy này trong một tuyên bố đề ngày 10/10. CryptoBilis đã tạm ngừng bán hàng, Ledger yêu cầu chủ sở hữu các thiết bị này chuyển tiền sang một thiết bị mới với seed mới, và ngày 13/10 đề nghị các đại lý tại bảy thị trường châu Á thu hồi hàng. MediaMarktSaturn cũng tạm dừng bán Ledger. Tài liệu của Ledger cho biết Genuine Check xác minh chip bảo mật (secure element) và không thể phát hiện các thay đổi vật lý.
- Bài học chính là gì?
- Phần lớn thiệt hại bắt nguồn từ bên ngoài phần mật mã của ví: trang phishing, ứng dụng giả mạo, phê duyệt độc hại và chuỗi cung ứng bị xâm phạm. Hãy xác minh các bản tải xuống, không bao giờ nhập cụm từ khôi phục (seed phrase) vào một trang web và kiểm tra kỹ những gì bạn ký.
Dòng thời gian
| Ngày | Ví | Loại | Thiệt hại được báo cáo | Diễn biến | Nguồn |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | chuỗi cung ứng | ~$86M–$93M | Các thiết bị Ledger bán qua CryptoBilis, một đại lý tại Đông Nam Á được Ledger liệt kê là được ủy quyền, mang một bộ cấy ẩn đọc cụm 24 từ trong quá trình thiết lập và gửi ra ngoài qua một mô-đun di động (LTE); Ledger xác nhận bộ cấy này trong một tuyên bố đề ngày 10/10. CryptoBilis đã tạm ngừng bán hàng, Ledger yêu cầu chủ sở hữu các thiết bị này chuyển tiền sang một thiết bị mới với seed mới, và ngày 13/10 đề nghị các đại lý tại bảy thị trường châu Á thu hồi hàng. MediaMarktSaturn cũng tạm dừng bán Ledger. Tài liệu của Ledger cho biết Genuine Check xác minh chip bảo mật (secure element) và không thể phát hiện các thay đổi vật lý. | cryptoslate.com |
| 2026-10-01 | MetaMask | khác | — | MetaMask công bố một 'sự cố bảo mật đang diễn ra' ảnh hưởng đến một phần hạ tầng của mình và bắt đầu rút các validator trong dịch vụ staking phi lưu ký (bao gồm các validator trong Lido, dự kiến hoàn tất vào ngày 7/10) như một biện pháp phòng ngừa. Công ty cho biết không tìm thấy bằng chứng ví hoặc tiền của khách hàng bị ảnh hưởng và không công bố nguyên nhân. | thehackernews.com |
| 2026-09-09 | Trezor | phishing | — | Kẻ tấn công xâm nhập Brevo, nhà cung cấp dịch vụ email marketing của Trezor, và gửi email phishing từ [email protected] về một 'lỗ hổng vi điều khiển' STM32 giả, dẫn tới một trang đánh cắp cụm từ khôi phục. Trezor gỡ tên miền đó trong khoảng 20 phút, tạm ngừng tài khoản Brevo và cho biết không có hệ thống nào khác của Trezor bị ảnh hưởng. | bleepingcomputer.com |
| 2026-08-16 | SafePal | rò rỉ dữ liệu | — | Một kẻ tấn công lợi dụng lỗi phân quyền trong một plug-in theo dõi đơn hàng trên cửa hàng trực tuyến của SafePal và lấy tên, email, số điện thoại, địa chỉ giao hàng và chi tiết đơn hàng của các đơn từ tháng 3/2025 đến tháng 4/2026; cụm từ khôi phục và khóa không bị lộ. SafePal đã sửa lỗi, thuê một công ty bảo mật bên ngoài và gỡ bỏ hơn 30 trang phishing. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (tiện ích trình duyệt) | lỗ hổng | — | Nhà nghiên cứu V12 báo cáo lỗ hổng 'trích xuất chữ ký âm thầm' trong tiện ích Rabby: một trang độc hại mà người dùng đã kết nối có thể lấy chữ ký mà không hiện yêu cầu xác nhận khi bộ hẹn giờ tự khóa được đặt ở mức 10 phút. Rabby phát hành bản sửa lỗi ngày 11/8/2026, cho biết ứng dụng di động không bị ảnh hưởng và chưa ghi nhận trường hợp bị khai thác nào. | techflowpost.com |
| 2026-08-10 | Trezor | rò rỉ dữ liệu | — | ShipMonk, nhà cung cấp dịch vụ hậu cần của Trezor, bị xâm nhập qua một lỗ hổng Metabase, làm lộ tên, email, số điện thoại và địa chỉ giao hàng của các đơn đặt từ 10/5 đến 8/8/2026. Ngày 7/9, Trezor cho biết dữ liệu của 67.000 khách hàng Mỹ đặt hàng từ tháng 11/2019 đến tháng 8/2021 cũng bị lộ vì ShipMonk chưa xóa dữ liệu này. Trezor cho biết hệ thống và thiết bị của mình không bị xâm phạm và cảnh báo về các đợt phishing tiếp theo. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | lỗ hổng | ~$116M | Một lỗi cấu hình build có từ firmware Coldcard 4.0.1 (tháng 3/2021) khiến seed trên các thiết bị Mk2/Mk3 bị ảnh hưởng, và ở mức độ thấp hơn là firmware Mk4, Mk5 và Q, được tạo từ một RNG phần mềm yếu thay vì nguồn entropy phần cứng, nên có thể bị dò bằng vét cạn (brute-force); các vụ trộm bắt đầu từ ngày 30/7/2026. Coinkite phát hành firmware đã sửa ngày 31/7 (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) và yêu cầu chủ sở hữu các seed bị lộ tạo seed mới và chuyển tiền; bản cập nhật chỉ bảo vệ các seed mới. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (bị mạo danh) | ứng dụng giả mạo | ~$1.8M | Ba người dùng kiện Apple tại tòa án liên bang ở California, cáo buộc một ứng dụng iOS 'Sparrow Wallet' giả mạo (Sparrow thật không có phiên bản iOS) đã đánh cắp cụm từ khôi phục và bitcoin của họ vào giữa năm 2025. Apple từ chối bình luận về vụ kiện nhưng cho biết hiện không có ứng dụng nhái Sparrow Wallet nào trên App Store. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, chip TROPIC01) | lỗ hổng | — | Nhóm Donjon của Ledger phát hiện một lỗ hổng tiêm lỗi bằng laser trong chip bảo mật TROPIC01 dùng trên Trezor Safe 7; việc khai thác đòi hỏi chiếm giữ thiết bị, bóc vỏ chip và thiết bị phòng thí nghiệm, và không thể khắc phục bằng firmware trên các chip hiện có. Trezor cho biết khóa ví và bản sao lưu không được lưu trên chip đó, nên tiền, mã PIN và bản sao lưu không thể bị lộ, và người dùng không cần làm gì. | trezor.io |
| 2026-04-20 | Nhiều ví (MetaMask, Ledger, Trust Wallet, Coinbase và các ví khác bị mạo danh) | ứng dụng giả mạo | — | Kaspersky báo cáo 26 ứng dụng ví giả mạo trên App Store của Apple, thuộc một chiến dịch hoạt động ít nhất từ mùa thu năm 2025. Chúng dụ người dùng cài đặt các bản ví chứa trojan qua hồ sơ nhà phát triển (developer profile), hoặc yêu cầu nhập cụm từ khôi phục trên các màn hình giả. | kaspersky.com |
| 2026-04-07 | Ledger (bị mạo danh) | ứng dụng giả mạo | ~$9.5M | Một ứng dụng Ledger Live giả mạo trên Mac App Store của Apple đã thu thập cụm từ khôi phục; ZachXBT liên hệ khoảng $9.5M tiền bị đánh cắp từ ngày 7 đến 13/4/2026 với ứng dụng này, trong đó ba nạn nhân mất hơn $1M mỗi người. Apple đã gỡ ứng dụng nhưng không giải thích vì sao nó vượt qua khâu xét duyệt. | theblock.co |
| 2026-02-14 | Trezor, Ledger | phishing | — | Các lá thư giấy in tiêu đề giả của Trezor và Ledger cho rằng cần thực hiện 'Authentication Check' hoặc 'Transaction Check' bắt buộc và dùng mã QR để dẫn người nhận đến các trang phishing thu thập cụm từ khôi phục. Cả hai nhà cung cấp đều cho biết họ không bao giờ yêu cầu cụm từ khôi phục. | bleepingcomputer.com |
| 2026-01-05 | Ledger | rò rỉ dữ liệu | — | Global-e, đơn vị xử lý thanh toán cho một số đơn hàng trên Ledger.com, bị xâm nhập và tên cùng thông tin liên hệ của khách hàng bị lộ. Ledger cho biết phần cứng, phần mềm và nền tảng của mình không bị xâm phạm và không có tiền nào gặp rủi ro. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (tiện ích trình duyệt) | chuỗi cung ứng | ~$8.5M | Một tiện ích Chrome độc hại phiên bản v2.68, được phát hành ngoài quy trình phát hành chính thức của Trust Wallet, đã đánh cắp cụm từ khôi phục của những người dùng đăng nhập từ ngày 24 đến 26/12. Trust Wallet cho biết họ tin chắc cuộc tấn công bắt nguồn từ sâu npm Sha1-Hulud vào tháng 11/2025, vốn làm lộ các bí mật GitHub của nhà phát triển và một khóa API của Chrome Web Store. Công ty phát hành v2.69, thu hồi các API phát hành, gỡ tên miền dùng để tuồn dữ liệu và mở quy trình yêu cầu bồi hoàn cho người dùng bị ảnh hưởng. | trustwallet.com |
| 2025-12-20 | Chung (đầu độc địa chỉ) | phishing | ~$50M | Một nhà giao dịch đã sao chép một địa chỉ trông giống hệt do một script đầu độc địa chỉ cài vào lịch sử giao dịch của họ và gửi gần $50M USDT đến địa chỉ đó sau một giao dịch thử nhỏ. Kẻ tấn công rửa tiền qua DAI, ETH và Tornado Cash; nạn nhân treo thưởng $1M. | theblock.co |
| 2025-12-16 | Exodus | chính sách | — | OFAC thuộc Bộ Tài chính Mỹ công bố thỏa thuận dàn xếp $3,103,360 với Exodus Movement liên quan đến 254 vi phạm rõ ràng các lệnh trừng phạt Iran (12 vụ bị coi là nghiêm trọng). Từ tháng 10/2017 đến tháng 1/2019, nhân viên hỗ trợ của Exodus đã giúp người dùng tại Iran, trong một số trường hợp giúp họ tiếp cận các sàn giao dịch đối tác và 12 lần gợi ý dùng VPN. Đây không phải vụ hack; không có tiền của người dùng nào bị ảnh hưởng. | ofac.treasury.gov |
| 2025-09-08 | Chung (chuỗi cung ứng npm) | chuỗi cung ứng | ~$600 | Sau khi lừa phishing một người bảo trì, kẻ tấn công đã phát hành các phiên bản độc hại của chalk, debug và khoảng 18 gói npm khác. Mã độc can thiệp vào window.ethereum và các lệnh gọi mạng trong trình duyệt để tráo địa chỉ nhận tiền mã hóa. Các phiên bản độc hại bị phát hiện nhanh chóng và kẻ tấn công thu được rất ít. | thehackernews.com |
| 2025-06-23 | Trezor | phishing | — | Kẻ tấn công gửi yêu cầu qua biểu mẫu hỗ trợ của Trezor dưới tên nạn nhân để chính email trả lời tự động của Trezor mang nội dung phishing. Trezor cho biết hệ thống và dữ liệu của mình không bị truy cập, đã cho gỡ trang phishing và đang nỗ lực ngăn chặn việc lạm dụng tiếp diễn. | theblock.co |
| 2025-05-07 | Chung (Inferno Drainer) | drainer | >$9M | Check Point báo cáo Inferno Drainer đã được sử dụng trở lại, dụ nạn nhân qua các trang xác minh Discord Collab.Land giả mạo, đồng thời bổ sung hợp đồng dùng một lần và cấu hình on-chain được mã hóa để tránh bị phát hiện. | decrypt.co |
| 2025-04 | Ledger | phishing | — | Người dùng Ledger nhận được thư giấy yêu cầu 'xác thực ví bắt buộc' qua mã QR và nhập cụm từ khôi phục. Ledger xác nhận các lá thư này là lừa đảo và cho biết họ không bao giờ yêu cầu 24 từ. | theblock.co |
| 2025-03-05 | Trezor | lỗ hổng | — | Nhóm Donjon của Ledger chứng minh rằng tấn công glitch điện áp vào một vi điều khiển đã được tháo hàn có thể vượt qua một số biện pháp bảo vệ chuỗi cung ứng trên Trezor Safe 3 đời cũ. Trezor công bố vấn đề, cho rằng nó khó khai thác, nhấn mạnh vai trò của passphrase và kiểm tra firmware, đồng thời lưu ý Safe 5 dùng chip chống glitch. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | chuỗi cung ứng | ~$1.5B | Những kẻ tấn công được cho là thuộc nhóm Lazarus đã xâm nhập máy tính của một nhà phát triển Safe{Wallet} và sửa mã JavaScript front-end trong bucket AWS S3 của Safe, khiến những người ký của Bybit phê duyệt một giao dịch độc hại được ngụy trang trên ví lạnh của sàn. Safe đã xây dựng lại hạ tầng, thay mới toàn bộ thông tin xác thực, khôi phục dịch vụ và cho biết các hợp đồng thông minh của mình không có lỗ hổng. | slowmist.medium.com |
| 2025-02-06 | Chung (SparkCat) | ứng dụng giả mạo | — | Kaspersky phát hiện SDK SparkCat trong các ứng dụng trên App Store và Google Play; nó dùng OCR ngay trên thiết bị để tìm ảnh chụp màn hình cụm từ khôi phục trong thư viện ảnh và tải chúng lên. Cả hai cửa hàng đã gỡ các ứng dụng này. | thehackernews.com |
| 2025-01-21 | Ledger | khác | — | Balland và bạn đời bị bắt cóc tại Pháp để đòi tiền chuộc bằng tiền mã hóa và được cảnh sát giải cứu trong vòng vài ngày, sau khi ngón tay của Balland bị thương; mười nghi phạm đã bị bắt. Đây là một vụ việc nổi bật trong làn sóng 'tấn công cờ lê' (tấn công vật lý) gia tăng nhắm vào người nắm giữ tiền mã hóa. | thelocal.fr |
| 2025-01 | Chung (đầu độc địa chỉ) | phishing | >$83.8M | Một nghiên cứu tại USENIX Security 2025 ghi nhận khoảng 270 triệu lượt đầu độc địa chỉ trên Ethereum và BSC trong khoảng hai năm, với thiệt hại ít nhất $83.8M. | arxiv.org |
| 2024-12-30 | Tangem | lỗ hổng | — | Một lỗi ghi log trong ứng dụng di động đã ghi khóa riêng vào log khi người dùng tạo ví dùng cụm từ khôi phục, và các log đó có thể được gửi đến bộ phận hỗ trợ của Tangem. Tangem sửa lỗi ngày 30/12/2024, xóa log hỗ trợ, liên hệ người dùng bị ảnh hưởng và cho biết không có tiền bị mất, nhưng bị chỉ trích vì công bố công khai rất ít thông tin. | cointelegraph.com |
| 2024-09 | WalletConnect (bị mạo danh) | ứng dụng giả mạo | ~$70,000 | Check Point phát hiện một ứng dụng 'WalletConnect' giả mạo trên Google Play đã rút sạch ví trong khoảng năm tháng, là drainer tiền mã hóa chỉ dành cho di động đầu tiên mà họ ghi nhận. Ứng dụng đã bị gỡ. | thehackernews.com |
| 2024-05-17 | Chung (Pink Drainer) | drainer | ~$85M | Pink Drainer, một dịch vụ drainer-as-a-service nổi tiếng với việc chiếm đoạt tài khoản Discord và X, tuyên bố ngừng hoạt động sau khoảng $85M tiền bị đánh cắp (ScamSniffer). | theblock.co |
| 2024-05-03 | Chung (đầu độc địa chỉ) | phishing | ~$68M | Một cá voi đã gửi $68M WBTC đến một địa chỉ trông giống hệt bị đầu độc. Sau các cuộc thương lượng on-chain, kẻ tấn công đã trả lại gần như toàn bộ số tiền trong khoảng một tuần. | unchainedcrypto.com |
| 2024-02-12 | Safe (bị Angel Drainer lạm dụng) | drainer | ~$403,000 | Angel Drainer triển khai một hợp đồng vault Safe độc hại và dụ nạn nhân ký các phê duyệt Permit2, trong khi huy hiệu 'verified' của Etherscan tạo cảm giác an toàn sai lầm. Blockaid cho biết bản thân Safe không bị tấn công. | cointelegraph.com |
| 2024-02-06 | Exodus (bị mạo danh) | ứng dụng giả mạo | ~$490K | Một snap ví 'Exodus' giả mạo trên Snap Store của Ubuntu đã đánh cắp cụm từ khôi phục; Canonical cách ly nó sau một báo cáo ngày 12/2. Trước đó, một snap Ledger Live giả mạo vào tháng 9/2023 đã khiến một người dùng mất khoảng $10K. | blog.popey.com |
| 2024-01-17 | Trezor | rò rỉ dữ liệu | — | Một kẻ tấn công truy cập cổng quản lý phiếu hỗ trợ của bên thứ ba và làm lộ tên và email của những người đã liên hệ bộ phận hỗ trợ Trezor kể từ tháng 12/2021; ít nhất 41 người nhận được email phishing nhắm vào cụm từ khôi phục. Trezor đã gửi email cho người dùng bị ảnh hưởng và cho biết không có tài sản nào bị xâm phạm. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | chuỗi cung ứng | ~$600,000 | Tài khoản npm của một cựu nhân viên bị phishing đã được dùng để phát hành một phiên bản Ledger Connect Kit độc hại, chèn drainer vào các dApp sử dụng thư viện này. Ledger đã đưa ra bản sửa lỗi, cam kết bồi thường đầy đủ cho nạn nhân và thông báo sẽ loại bỏ dần blind signing để chuyển sang Clear Signing. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | hack | ~$2.7M | Nghi vấn rò rỉ một khóa proxy-admin đã cho phép kẻ tấn công nâng cấp một hợp đồng OKX DEX đã ngừng sử dụng và rút các token mà người dùng đã phê duyệt. OKX đã thu hồi các quyền và cam kết bồi hoàn cho người dùng bị ảnh hưởng. | theblock.co |
| 2023-11-14 | Chung (BitcoinJS 'Randstorm') | lỗ hổng | — | Unciphered công bố 'Randstorm', lỗi tính ngẫu nhiên yếu trong các ví trình duyệt dựa trên BitcoinJS được tạo trong giai đoạn 2011–2015 (từ JSBN SecureRandom và Math.random của trình duyệt), có thể cho phép dò khóa bằng vét cạn. Chủ sở hữu được khuyến cáo chuyển tiền. | forklog.com |
| 2023-11 | Chung (Inferno Drainer) | drainer | >$80M | Inferno Drainer, hoạt động từ tháng 11/2022 và giả mạo hơn 100 thương hiệu tiền mã hóa trên hơn 16.000 tên miền phishing, tuyên bố ngừng hoạt động vào tháng 11/2023 (Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (bị mạo danh) | ứng dụng giả mạo | ~$768,000 | Một ứng dụng Ledger Live giả mạo trên Microsoft Store từ ngày 19/10/2023 đã đánh cắp cụm từ khôi phục, theo cảnh báo của ZachXBT. Microsoft đã gỡ ứng dụng. | bitdefender.com |
| 2023-09-05 | Chung (vụ xâm nhập LastPass) | rò rỉ dữ liệu | >$35M | Các nhà nghiên cứu liên hệ một loạt vụ trộm tiền mã hóa với các cụm từ khôi phục được lưu trong kho LastPass bị đánh cắp trong vụ xâm nhập năm 2022 và bị bẻ khóa ngoại tuyến. Họ cho rằng mối liên hệ này nhiều khả năng có thật nhưng chưa thể kết luận. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | lỗ hổng | >$900,000 | Lệnh `bx seed` dùng một PRNG khởi tạo theo thời gian với chỉ 32 bit entropy (CVE-2023-39910), nên seed có thể bị dò bằng vét cạn. Libbitcoin phản bác rằng đây là lỗi, viện dẫn các cảnh báo trong tài liệu của mình. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | hack | >$100M | Tiền của hàng nghìn người dùng Atomic Wallet bị rút sạch trong một cuộc tấn công mà Elliptic quy cho nhóm Lazarus của Triều Tiên. Atomic chưa bao giờ xác nhận nguyên nhân gốc rễ, chỉ liệt kê bốn hướng tấn công có thể; công ty phối hợp với các sàn giao dịch, Chainalysis và Crystal để đóng băng tiền và không công bố bồi hoàn. | decrypt.co |
| 2023-05 | Ledger (Recover) | chính sách | — | Ledger công bố Ledger Recover (16/5/2023), một dịch vụ trả phí tùy chọn mã hóa và chia nhỏ cụm từ khôi phục cho ba đơn vị lưu ký. Người dùng phản đối vì cho rằng firmware có thể trích xuất khóa, và CEO Pascal Gauthier đã xin lỗi về cách truyền thông, hứa đẩy nhanh việc mở mã nguồn và hoãn ra mắt. | forklog.com |
| 2023-04-22 | Trust Wallet (tiện ích trình duyệt) | lỗ hổng | ~$170,000 | Một lỗi entropy WebAssembly trong Trust Wallet Core khiến một số ví được tạo bằng tiện ích có thể bị đoán ra, sau đó xảy ra hai vụ khai thác. Trust Wallet đã khắc phục sự cố, bảo vệ phần lớn số tiền có nguy cơ và thiết lập cơ chế bồi hoàn. | theblock.co |
| 2023-02 | OneKey | lỗ hổng | — | Unciphered công bố video trích xuất bí mật từ một thiết bị OneKey Mini thông qua một lỗi firmware trong khoảng một giây. OneKey cho biết đã sửa lỗi này. | unciphered.com |
| 2022-12 | BitKeep (nay là Bitget Wallet) | ứng dụng giả mạo | ~$8M | Các tệp APK BitKeep cho Android bị cài trojan, phát tán qua các trang phishing, đã đánh cắp khóa riêng; phiên bản trên Google Play không bị ảnh hưởng. | halborn.com |
| 2022-10-18 | BitKeep Swap (nay là Bitget Wallet) | hack | ~$1M | Tính năng Swap của BitKeep bị khai thác trên BNB Chain và Polygon. BitKeep tạm ngừng Swap và hứa bồi thường 100% qua một cổng yêu cầu bồi hoàn. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | hack | — | Chưa đầy một tháng sau khi ra mắt, một lỗ hổng trong hợp đồng router Rabby Swap đã bị khai thác để rút các token người dùng đã phê duyệt. Rabby yêu cầu người dùng Swap thu hồi mọi phê duyệt. | theblock.co |
| 2022-09-20 | Địa chỉ vanity Profanity (Wintermute) | lỗ hổng | ~$160M | Nhà tạo lập thị trường Wintermute mất $160M, mà nhiều người cho là do ví nóng quản trị của họ là một địa chỉ vanity tạo bằng Profanity có khóa có thể bị dò bằng vét cạn. 1inch đã công bố lỗ hổng Profanity một tuần trước đó. | theblock.co |
| 2022-08-02 | Slope Wallet | lỗ hổng | ~$4M–$5M | Ứng dụng di động của Slope đã gửi cụm từ khôi phục đến một máy chủ ghi log Sentry, nơi chúng được lưu trữ không mã hóa (Otter Sec). Slope yêu cầu người dùng chuyển tiền; Phantom cho biết hệ thống của mình không bị xâm phạm và những người dùng Phantom bị ảnh hưởng đã nhập seed của Slope. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (và Brave) | lỗ hổng | — | Công bố 'Demonic' của Halborn cho thấy các tệp 'khôi phục phiên' (restore session) của trình duyệt có thể lưu cụm từ khôi phục không mã hóa trên ổ đĩa. MetaMask và Phantom đã phát hành bản sửa lỗi. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | phishing | ~$650,000 | Một vụ lừa đảo qua điện thoại đã chiếm Apple ID của một người dùng và dùng bản sao lưu iCloud của kho MetaMask của anh ta để rút sạch ví. MetaMask đã cảnh báo người dùng và công bố các bước tắt sao lưu iCloud cho ứng dụng. | decrypt.co |
| 2022-04-03 | Trezor | phishing | — | Một vụ xâm nhập có sự tiếp tay của người trong cuộc tại Mailchimp khiến khách hàng Trezor nhận được email phishing quảng bá một ứng dụng 'Trezor Suite' giả mạo nhằm đánh cắp cụm từ khôi phục. Trezor đã gỡ tên miền và tạm dừng gửi bản tin. | siliconrepublic.com |
| 2021-06-16 | Ledger | phishing | — | Sử dụng dữ liệu từ vụ rò rỉ năm 2020, tội phạm gửi qua bưu điện các thiết bị Ledger Nano X 'thay thế' giả đã bị can thiệp, yêu cầu nạn nhân chạy phần mềm và nhập cụm từ khôi phục. Ledger nhắc lại rằng họ không bao giờ yêu cầu cụm từ này. | bleepingcomputer.com |
| 2021-01-22 | Trezor (bị mạo danh) | ứng dụng giả mạo | >$1M | Một ứng dụng 'Trezor' giả mạo trên App Store của Apple từ ngày 22/1 đến 3/2/2021 đã thu thập cụm từ khôi phục; một ứng dụng giả tương tự cũng xuất hiện trên Google Play. | malwarebytes.com |
| 2020-12-20 | Ledger | rò rỉ dữ liệu | — | Cơ sở dữ liệu thương mại điện tử của Ledger bị đánh cắp vào tháng 6/2020 đã bị phát tán công khai trên RaidForums, tiếp tay cho nhiều năm các chiến dịch phishing, tống tiền và thiết bị giả. Ledger đã vô hiệu hóa khóa API bị lạm dụng và thông báo cho CNIL của Pháp vào tháng 7/2020. | decrypt.co |
| 2020-03-24 | Chung (phê duyệt token không giới hạn) | lỗ hổng | — | ZenGo chỉ ra rằng hầu hết các ví dApp cấp hạn mức ERC-20 không giới hạn, mà một dApp độc hại sau này có thể lợi dụng để rút sạch. Trust Wallet cho biết sẽ nâng cấp; MetaMask và Brave đã có sẵn các tùy chọn kiểm soát hạn mức nâng cao. | cointelegraph.com |
| 2020-01-31 | Trezor | lỗ hổng | — | Kraken Security Labs đã trích xuất seed được mã hóa từ thiết bị Trezor trong chưa đầy 15 phút tiếp cận vật lý bằng kỹ thuật glitch điện áp; lỗi vi điều khiển này không thể vá. Trezor cho biết passphrase BIP39 có thể vô hiệu hóa cuộc tấn công. | theblock.co |
| 2019-04 | Electrum | khác | — | Một botnet phát tán qua Smoke Loader/RIG đã tấn công DDoS các máy chủ Electrum hợp lệ để đẩy các client cũ sang các máy chủ phishing độc hại. Electrum đã lợi dụng một lỗi DoS trong các client trước 3.3 để buộc nâng cấp và công bố hướng dẫn cho các nhà vận hành máy chủ. | malwarebytes.com |
| 2019-02-22 | Coinomi | lỗ hổng | — | Một người dùng chỉ ra rằng ví desktop của Coinomi gửi văn bản trong trường khôi phục, bao gồm cả cụm từ khôi phục, đến API kiểm tra chính tả của Google. Coinomi đổ lỗi cho một plug-in cấu hình sai và đã vá vào ngày 22/2/2019. | theblock.co |
| 2018-12-27 | Trezor, Ledger | lỗ hổng | — | Nhóm wallet.fail trình diễn các cuộc tấn công vào Trezor One (trích xuất khóa khi không có passphrase) và Ledger Nano S/Blue tại 35C3. Trezor hứa sửa lỗi bằng firmware và chỉ trích việc thiếu quy trình công bố phối hợp. | crowdfundinsider.com |
| 2018-12-21 | Electrum | phishing | >$4M | Các máy chủ Electrum độc hại đã lợi dụng khả năng hiển thị thông báo lỗi dạng rich-text của client để hiện lời nhắc 'cập nhật' giả, dẫn tới các ví chứa trojan đánh cắp seed hoặc chuyển hướng thanh toán. Electrum khắc phục sự cố trong bản 3.3.3/3.3.4 và sau đó buộc nâng cấp. | malwarebytes.com |
Cách tự bảo vệ
Chỉ tải ví từ trang web chính thức hoặc trang ứng dụng trên cửa hàng, do chính bạn nhập địa chỉ; không bao giờ nhập cụm từ khôi phục vào một trang web hoặc chia sẻ nó với "bộ phận hỗ trợ"; đọc kỹ mọi giao dịch và phê duyệt trước khi ký; kiểm tra từng ký tự của địa chỉ bạn dán, không chỉ vài ký tự đầu và cuối, vì kỹ thuật đầu độc địa chỉ (address poisoning) sao chép chính những ký tự đó; và giữ số tiền lớn trên ví phần cứng. Xem an toàn cụm từ khôi phục và lừa đảo ví tiền mã hóa.
Phương pháp và trích dẫn
Các mục được lấy từ báo cáo hậu kiểm của nhà cung cấp, các nhà nghiên cứu bảo mật và tin tức từ các nguồn uy tín; mỗi dòng đều ghi rõ nguồn. Số liệu thiệt hại là số được báo cáo tại thời điểm đó. Nhà báo và nhà nghiên cứu có thể trích dẫn trang này; vui lòng dẫn liên kết về trang. Dữ liệu được tải xuống miễn phí trên trang báo chí của chúng tôi. Chúng tôi hoan nghênh các góp ý đính chính.