Sáu thương hiệu ví cứng đã tiết lộ các vấn đề bảo mật trong năm 2026, nhưng người dùng chỉ bị mất tiền điện tử ở hai trường hợp. Mới đây nhất, vụ việc ở Ledger liên quan đến thiết bị bị can thiệp trước khi đến tay khách hàng.
Ví cứng giúp giữ cụm từ khôi phục bí mật gồm 24 từ – chìa khóa để kiểm soát tài sản crypto – tách biệt hoàn toàn khỏi Internet. Năm nay, các hacker đã tìm cách tấn công gần như mọi khâu liên quan đến cụm từ này.
Các lỗi tạo khoá yếu, tấn công laser và rò rỉ dữ liệu ảnh hưởng tới nhà sản xuất ví cứng trong năm 2026
Ngày 30/07, kẻ xấu bắt đầu rút tiền khỏi các ví Coldcard có khoá được tạo với nguồn ngẫu nhiên yếu. Theo Galaxy Research, tổng thiệt hại của Coldcard đã vượt 115 triệu USD.
Đội ngũ an ninh nội bộ của Ledger đã sử dụng tia laser để bẻ gãy chip trên thiết bị Trezor Safe 7 vào tháng 06 và trên thẻ Tangem vào tháng 07. Hai hình thức tấn công này đều đòi hỏi phải có thiết bị trong tay và sử dụng thiết bị phòng lab chuyên biệt.
Trezor khẳng định tài sản của người dùng vẫn an toàn. Tangem cho rằng rủi ro với người dùng phổ thông “gần như không tồn tại” và nhấn mạnh nhóm nghiên cứu làm cho đối thủ cạnh tranh.
Trong tháng 08, BitBox đã sửa một số lỗi nghiêm trọng trong firmware mà chính kỹ sư của hãng đánh giá là nặng. Không ghi nhận trường hợp bị mất tiền nào tại đây.
Một số vụ việc khác khiến dữ liệu khách hàng bị tiết lộ, chứ không phải là khoá ví. Đối tác vận chuyển của Trezor làm lộ thông tin 13,689 người mua, còn vụ rò rỉ dữ liệu SafePal đã làm lộ gần 40,000 địa chỉ nhà riêng.
“2026 có thể sẽ được ghi nhớ là một trong những năm sóng gió nhất về bảo mật ví cứng,” Wise Advice nhận định.
Ví Ledger bị can thiệp xuất hiện không chỉ ở châu Á
Ledger xác nhận vào ngày thứ Bảy rằng thiết bị của một nạn nhân có gắn phần cứng trái phép. Trong thông báo ngày Chủ nhật, công ty cho biết tất cả các trường hợp được xác minh đều liên quan đến đại lý CryptoBilis tại Malaysia.
Các chuyên gia phân tích on-chain ước tính số tiền thiệt hại vào khoảng 90 triệu USD. Một người mua bị mất 80 Bitcoin chỉ vài ngày sau khi kích hoạt thiết bị. Ledger hiện chưa xác nhận con số chính thức.
CryptoBilis đã dừng kinh doanh ví cứng. Các cựu nhà sáng lập chia sẻ trên LinkedIn rằng đã chuyển giao công ty cho chủ mới từ tháng 03.
Bên cạnh đó, một số người dùng phản ánh ví Ledger mà họ mua gần đây ở cửa hàng chính hãng tại châu Âu cũng có dấu hiệu bị can thiệp dù nhìn tương tự thiết bị xịn. Tuy nhiên, Ledger vẫn chưa xác nhận trường hợp nào ngoài CryptoBilis.
Nhà sản xuất ví cứng khuyên người dùng nên làm gì?
Ledger khuyên người dùng chỉ nên mua trực tiếp tại Ledger hoặc các đại lý uỷ quyền. Những ai từng mua từ CryptoBilis nên ngừng sử dụng thiết bị chưa kích hoạt và chuyển tài sản sang cụm từ khôi phục mới.
Tính năng Ledger Genuine Check giúp xác minh chip bảo mật trên ví là hàng chính hãng. Tuy nhiên, tính năng này không thể phát hiện toàn bộ các thay đổi vật lý quanh con chip.
BitBox đề nghị người dùng luôn cập nhật phần mềm và chỉ nhập cụm từ khôi phục trực tiếp trên thiết bị. Trezor cho rằng lừa đảo giả mạo (phishing) vẫn là nguy cơ lớn nhất cho người dùng thông thường.
Bên cạnh đó, Ledger cũng kêu gọi các hãng ví cứng khác cùng xây dựng tiêu chuẩn chung chống can thiệp và tăng cường truy xuất nguồn gốc thiết bị.
Vậy, có ví cứng nào thật sự an toàn trong năm 2026 không? Câu trả lời là chưa hoàn toàn, bởi năm nay chưa có chip bảo mật nào bị hack ngoài phòng lab. Tuy vậy, người dùng Coldcard và Ledger vẫn bị mất tiền do khoá yếu và thiết bị bị chỉnh sửa.
