Ledger phản đối cáo buộc lỗ hổng trên ứng dụng Ethereum: “Nỗi sợ đang bị thổi phồng một cách giả tạo”

[Tên tác giả]
Ví cứng (hardware wallet) Ledger của Pháp một lần nữa rơi vào vòng xoáy chỉ trích dữ dội – lần này xoay quanh cáo buộc về một lỗ hổng bảo mật tiềm ẩn trong ứng dụng Ethereum. Các nhà nghiên cứu bảo mật từ nền tảng TestMachine buộc tội Ledger đã không xử lý một lỗ hổng quan trọng một cách trách nhiệm. Thế nhưng, thay vì im lặng, Ledger đã phản pháo mạnh mẽ, gọi đây là hành động “gây sợ hãi” và cáo buộc TestMachine truyền thông thiếu minh bạch.
Chuyện gì đã xảy ra?
Theo báo cáo của TestMachine, được công bố vào ngày [Ngày], ứng dụng Ethereum trên các thiết bị Ledger dường như chứa một lỗ hổng bảo mật nghiêm trọng. Các nhà nghiên cứu tuyên bố rằng tin tặc có thể lợi dụng nó để thao túng khóa riêng tư hoặc dữ liệu giao dịch. Điều đáng lo ngại hơn, họ cho rằng lỗ hổng có thể bị khai thác ngay cả khi chiếc ví cứng Ledger kết nối với một chiếc PC bị nhiễm phần mềm độc hại – trong khi bản thân Ledger vẫn được quảng cáo là an toàn.
Các nhà nghiên cứu khẳng định họ đã thông báo cho Ledger về vấn đề này từ tháng 11 năm 2023. Thế nhưng, chỉ sau nhiều tháng gây sức ép và thu hút sự chú ý từ công chúng, Ledger mới phát hành bản cập nhật. Phải chăng đây là một trường hợp điển hình của “quá ít, quá muộn”?
Lời phản hồi gay gắt từ Ledger: “Đó là hành vi tiết lộ thông tin thiếu trách nhiệm!”
Trong một tuyên bố sắc bén được công bố vào ngày [Ngày], Ledger đã bác bỏ mạnh mẽ những cáo buộc trên. Công ty gọi đây là hành động “tiet lộ lỗ hổng thiếu trách nhiệm” (irresponsible disclosure) và cáo buộc TestMachine cố tình thổi phồng nỗi sợ hãi nhằm thu hút sự chú ý về phía mình.
“Không có bằng chứng nào chứng minh lỗ hổng này có thể bị khai thác trong thực tế”, Ledger nhấn mạnh trong tuyên bố. Công ty khẳng định ứng dụng Ethereum thường xuyên trải qua các cuộc kiểm tra bảo mật và mọi vấn đề đã được khắc phục kịp thời. Thay vì xin lỗi, Ledger đã mạnh mẽ bảo vệ quan điểm của mình: Theo họ, các nhà nghiên cứu đã cố tình mô tả lỗ hổng một cách mập mờ để thu hút thêm sự chú ý.
Lấy ví dụ, Ledger cho rằng mặc dù TestMachine gọi đây là “lỗ hổng quan trọng”, nhưng họ lại không công bố bất kỳ đoạn code nào minh chứng khả năng khai t



hác thực tế của lỗ hổng. Những tuyên bố mập mờ như vậy chỉ gây hoang mang cho người dùng – và chính điều đó đã bị Ledger chỉ trích.
Ai đang nói dối? Câu hỏi về uy tín
Vụ việc đặt ra một vấn đề quan trọng: Làm thế nào để xử lý lỗ hổng bảo mật một cách phù hợp? Các nhà nghiên cứu có nên công bố ngay lập tức nhằm tạo áp lực? Hay các nhà sản xuất như Ledger có quyền có thêm thời gian để phát triển bản vá?
Trong khi một số chuyên gia ủng hộ Ledger, cho rằng doanh nghiệp cần thời gian để khắc phục lỗi, những người khác lại chỉ trích Ledger về thiếu minh bạch. TestMachine cáo buộc Ledger chỉ hành động sau khi bị dư luận gây sức ép – một cáo buộc mà Ledger đã phủ nhận trong tuyên bố của mình. Công ty giải thích rằng sự chậm trễ là do “những thách thức kỹ thuật”.
Một vấn đề phổ biến đối với tất cả ví cứng
Cuộc tranh cãi quanh ứng dụng Ethereum của Ledger không phải là trường hợp cá biệt. Ngành công nghiệp ví cứng từ lâu đã bị chỉ trích vì liên tục xuất hiện các lỗ hổng bảo mật. Một ví dụ nổi tiếng là vụ hack chuỗi cung ứng Ledger năm 2020, khiến dữ liệu của tới 272.000 người dùng bị đánh cắp.
Dù vậy, Ledger vẫn tiếp tục quảng cáo khẩu hiệu “Your keys, your crypto” (Chìa khóa của bạn, tiền mã hóa của bạn) và nhấn mạnh tính an toàn của các giải pháp lưu trữ lạnh (Cold Storage). Thế nhưng, những sự cố như vậy cho thấy không có hệ thống nào là bất khả xâm phạm.
Niềm tin chính là tiền tệ mới
Cuối cùng, câu chuyện này xoay quanh niềm tin. Và trong thế giới tiền mã hóa, niềm tin có lẽ là tài sản quan trọng nhất. Người dùng phải có thể tin tưởng rằng ví cứng của họ thực sự an toàn. Nếu giờ đây xuất hiện nghi ngờ liệu Ledger có đang che giấu lỗ hổng bảo mật hay TestMachine chỉ đang tìm kiếm sự chú ý, đó sẽ là vấn đề của tất cả mọi người.
Sự thật có lẽ sẽ chỉ được sáng tỏ trong những tuần tới, khi các cuộc kiểm toán bảo mật độc lập và thử nghiệm sâu hơn được tiến hành. Cho đến lúc đó, người dùng buộc phải tự quyết định xem mình tin tưởng ai – và có thể chuyển sang sử dụng các giải pháp ví thay thế minh bạch hơn.
Một điều chắc chắn: Trong thế giới tiền mã hóa, niềm tin là tất cả. Và chính niềm tin ấy đang bị đặt vào thế nguy hiểm.