Từ đầu năm 2026, sáu thương hiệu ví lạnh đã công bố các sự cố bảo mật; những vụ việc được biết là gây thiệt hại tài sản mã hóa liên quan đến Coldcard và một nhà phân phối Ledger. Vụ việc mới nhất xoay quanh nghi vấn thiết bị Ledger bị can thiệp trước khi giao đến người mua. Một số báo cáo cho rằng thiết bị có thể đã được đưa ra ngoài Đông Nam Á, nhưng phạm vi và số người bị ảnh hưởng vẫn chưa rõ. Với người dùng lưu trữ tài sản ngoại tuyến, rủi ro có thể phát sinh không chỉ từ thiết bị mà còn ở khâu tạo khóa, chuỗi cung ứng và quản lý dữ liệu khách hàng.
Lỗi tạo khóa Coldcard gây thiệt hại hơn 115 triệu USD
Từ ngày 30/7, kẻ trộm bắt đầu chuyển tài sản khỏi một số ví Coldcard. Sự cố được cho là liên quan đến tính ngẫu nhiên không đủ trong quá trình tạo khóa. Sau đó, Galaxy Research ước tính tổng thiệt hại liên quan đến Coldcard đã vượt 115 triệu USD.
Vụ việc cho thấy việc khóa riêng được tạo trên ví phần cứng không đồng nghĩa quá trình tạo khóa không thể có sai sót. Nếu cơ chế này có điểm yếu, tài sản lưu trữ vẫn có thể bị đặt vào rủi ro.
Thử nghiệm tấn công bằng laser cần thiết bị và điều kiện phòng thí nghiệm
Tháng 6, đội ngũ bảo mật nội bộ của Ledger thử nghiệm tấn công bằng laser lên chip Trezor Safe 7; đến tháng 7, nhóm tiến hành thử nghiệm tương tự với thẻ Tangem. Cả hai phương thức đều đòi hỏi phải tiếp cận thiết bị vật lý và sử dụng thiết bị chuyên dụng trong phòng thí nghiệm.
Trezor cho biết tiền của người dùng không bị ảnh hưởng. Tangem nhận định rủi ro đối với người dùng phổ thông là “gần như không tồn tại”, đồng thời lưu ý các nhà nghiên cứu liên quan đến đối thủ cạnh tranh.
BitBox vá lỗi firmware, chưa ghi nhận mất tiền
Trong tháng 8, BitBox đã khắc phục một số lỗ hổng firmware. Các kỹ sư của công ty mô tả đây là những vấn đề nghiêm trọng, nhưng BitBox không ghi nhận trường hợp tiền bị đánh cắp do các lỗ hổng này.
Các vụ việc cho thấy cần phân biệt giữa việc phát hiện lỗ hổng và thiệt hại tài sản thực tế. Việc kẻ tấn công có cần tiếp xúc trực tiếp với thiết bị hay không, cũng như lỗ hổng đã bị khai thác chưa, đều ảnh hưởng đến mức độ rủi ro.
Rò rỉ dữ liệu khách hàng khác với thiết bị bị can thiệp
Một số sự cố khác ảnh hưởng đến thông tin cá nhân thay vì trực tiếp làm lộ khóa ví. Đối tác vận chuyển của Trezor để lộ dữ liệu của 13.689 người mua; vụ rò rỉ dữ liệu của SafePal liên quan đến gần 40.000 địa chỉ nhà.
Thông tin địa chỉ bị lộ có thể làm phát sinh nguy cơ về quyền riêng tư và an toàn về sau. Tuy nhiên, thông tin hiện có không cho thấy các vụ việc này trực tiếp dẫn đến việc tài sản mã hóa của người dùng bị đánh cắp.
Trong khi đó, sự cố liên quan đến Ledger tập trung vào chuỗi cung ứng: thiết bị được cho là đã bị can thiệp trước khi đến tay người mua. Chưa có thông tin về số thiết bị bị ảnh hưởng, chi tiết kênh bán hàng hay các thị trường cụ thể ngoài Đông Nam Á nơi thiết bị có thể đã xuất hiện. Hiện xác nhận được rằng sáu thương hiệu công bố sự cố bảo mật trong năm 2026, còn các trường hợp thiệt hại tài sản được biết đến liên quan đến Coldcard và một nhà phân phối Ledger. Phạm vi của nghi vấn thiết bị Ledger bị can thiệp vẫn chưa được làm rõ.