Tại Black Hat USA 2026, các nhà nghiên cứu đã phơi bày 15 lỗ hổng trên hệ thống Omada của TP-Link, trong đó có 2 lỗ hổng không thể sửa chữa bằng phần mềm. Điều này không chỉ ảnh hưởng đến hàng triệu thiết bị gia đình và doanh nghiệp vừa và nhỏ (SMB) tại Mỹ, mà còn đặt ra câu hỏi lớn cho các dự án Web3 và DePIN đang phụ thuộc vào phần cứng giá rẻ từ các nhà sản xuất tương tự.
Context: Tại sao TP-Link lại quan trọng với Web3? TP-Link chiếm 30-50% thị trường gia đình và SMB tại Mỹ, với hơn 70 triệu lượt tải ứng dụng Omada. Nhiều thợ đào solo, node vận hành bởi cá nhân, hoặc các dự án DePIN (như Helium, DIMO) sử dụng router TP-Link làm thiết bị gateway. Nếu các thiết bị này bị chiếm quyền điều khiển, chúng có thể trở thành công cụ tấn công mạng blockchain, thao túng giao dịch, hoặc đánh cắp private key được lưu trữ trên thiết bị.
Core: 6 lớp kiến trúc thất bại Phân tích từ báo cáo cho thấy TP-Link mắc 6 lỗi thiết kế nghiêm trọng, không chỉ là lỗi phần mềm đơn lẻ: 1. Trust anchor thiết kế sai: Thiết bị chỉ dựa vào số series (có thể dự đoán được) để xác thực, không có token động hay chứng chỉ số. Điều này cho phép kẻ tấn công chiếm quyền điều khiển thiết bị từ xa chỉ bằng cách enumerate số series. 2. Default credentials: 'admin/admin' vẫn tồn tại trên thiết bị enterprise năm 2026 – một điều không thể chấp nhận trong bất kỳ tiêu chuẩn bảo mật nào. 3. Mật khẩu lưu trữ dạng plaintext + MD5 không muối: Công nghệ đã bị loại bỏ từ 15 năm trước. 4. Key AES cứng: Hardcoded AES key '_who are you?' và key RC4 yếu – vi phạm RFC 7465 từ 2015. 5. Leo thang đặc quyền + backdoor vĩnh viễn: CVE-2025-7850 cho phép thực thi lệnh root, kết hợp với lỗi không thể vá tạo ra đường dẫn APT hoàn chỉnh. 6. Lây nhiễm chéo sản phẩm: Cùng một chuỗi chứng chỉ TLS bị hỏng tồn tại trên camera VIGI, router Festa, và thiết bị thông minh Tapo/Kasa – một lỗi Log4j kiểu mới.
Contrarian: Chi phí thấp không phải là lợi thế cho Web3 Nhiều dự án DePIN chọn TP-Link vì giá rẻ và dễ triển khai. Nhưng với lỗ hổng không thể vá, chi phí thực sự không chỉ là thay thiết bị, mà còn là rủi ro mất lòng tin từ cộng đồng. Nếu một node DePIN bị tấn công, toàn bộ mạng có thể bị ảnh hưởng. Đây là bài học cho thấy bảo mật phần cứng không thể hy sinh vì chi phí – đặc biệt trong các hệ thống phi tập trung, nơi không có trung tâm để khôi phục.
Takeaway: Lựa chọn phần cứng là quyết định chiến lược Các dự án Web3 cần xây dựng tiêu chuẩn bảo mật phần cứng ngay từ đầu, không chỉ dựa vào giá cả. Lỗ hổng TP-Link là hồi chuông cảnh tỉnh: nếu bạn không thể vá thiết bị, bạn đang xây dựng trên một nền móng sụp đổ. Câu hỏi còn lại: liệu cộng đồng Web3 có đủ nhanh để thay đổi danh sách phần cứng được phép, hay sẽ chờ đến khi một cuộc tấn công quy mô lớn xảy ra?
