Người sáng lập Binance, Changpeng Zhao (CZ), vừa kêu gọi các nhà đầu tư tiền mã hóa phân tán tài sản của họ trên nhiều ví sau vụ khai thác nghiêm trọng trị giá 70 triệu USD đối với ví cứng Coldcard. Sự cố bắt nguồn từ lỗ hổng firmware có từ tháng 3/2021, làm suy yếu tính ngẫu nhiên trong quá trình tạo hạt giống khôi phục (recovery seed). Kẻ tấn công đã tái tạo khóa riêng tư ngoại tuyến và rút tiền mà không cần chạm vào thiết bị. Ban đầu ước tính khoảng 594 BTC (38 triệu USD) bị rút từ 500 ví trong 25 phút, sau đó Galaxy Research mở rộng lên 1.082,65 BTC (~70 triệu USD) từ 1.196 địa chỉ trong 41 phút. Coldcard maker Coinkite đã xác nhận lỗi, xin lỗi và phát hành bản cập nhật firmware khẩn cấp. CZ khuyên người dùng nên chia nhỏ số dư vào nhiều ví để giảm thiểu rủi ro.
Diễn biến vụ tấn công Coldcard
Vào ngày 30/7, một số người dùng bitcoin phát hiện tiền trong ví Coldcard của họ bị đánh cắp trong một loạt giao dịch bất thường. Kẻ tấn công đã khai thác lỗ hổng firmware có từ tháng 3/2021, làm suy yếu tính ngẫu nhiên được sử dụng để tạo hạt giống khôi phục trên một số mẫu Coldcard. Bằng cách tái tạo khóa riêng tư ngoại tuyến, kẻ tấn công có thể rút tiền mà không cần tiếp cận vật lý thiết bị.
Ví cứng (hardware wallet) là một thiết bị vật lý chuyên dụng lưu trữ khóa riêng tư của người dùng ngoại tuyến, giúp bảo vệ tiền mã hóa khỏi các cuộc tấn công trực tuyến. Recovery seed (hạt giống khôi phục) là một chuỗi từ được tạo ra khi thiết lập ví, dùng để khôi phục quyền truy cập nếu ví bị mất hoặc hỏng.
Số liệu thiệt hại
Các báo cáo ban đầu cho thấy khoảng 594 BTC (tương đương 38 triệu USD vào thời điểm đó) đã bị rút từ khoảng 500 ví trong cửa sổ 25 phút. Phân tích tiếp theo của Galaxy Research đã mở rộng phạm vi lên 1.082,65 BTC (khoảng 70 triệu USD), bị rút từ 1.196 địa chỉ trong khoảng 41 phút. Nhiều ví bị ảnh hưởng đã không hoạt động trong nhiều năm.
- 594 BTC (~38 triệu USD) bị rút từ ~500 ví trong 25 phút (báo cáo ban đầu)
- 1.082,65 BTC (~70 triệu USD) bị rút từ 1.196 địa chỉ trong 41 phút (Galaxy Research)
- Nhiều ví bị ảnh hưởng đã ngừng hoạt động trong nhiều năm
CZ kêu gọi phân tán ví
Trong một bài đăng trên X vào thứ Bảy, CZ viết: “Ngay cả ví cứng cũng có thể có lỗi. Ngay cả ví cũ (có lịch sử lâu dài) cũng có thể có lỗi. Làm thế nào để giảm thiểu? Có lẽ hãy chia số tiền của bạn vào một vài ví? Điều này có một loạt rủi ro khác. Không có gì là 100%. Hãy luôn cập nhật và giữ an toàn!”
Lời kêu gọi của CZ nhấn mạnh rằng ngay cả những giải pháp an toàn nhất như ví cứng cũng có thể có lỗ hổng tiềm ẩn. Ông gợi ý việc phân tán tài sản trên nhiều ví như một cách giảm thiểu rủi ro, dù điều này đi kèm với những thách thức riêng như quản lý khóa phức tạp hơn.
Phản ứng của nhà sản xuất Coldcard
Coinkite, công ty sản xuất Coldcard, đã xác nhận lỗi, xin lỗi và phát hành bản cập nhật firmware khẩn cấp. Công ty khuyến cáo người dùng đã tạo hạt giống trên các phiên bản bị ảnh hưởng nên tạo hạt giống mới hoàn toàn trên thiết bị đã vá lỗi và cẩn thận chuyển tiền. Việc chỉ cập nhật firmware không bảo mật được hạt giống đã tạo trước đó.
Tự quản lý tài sản: Giới hạn mới được nhận diện
Sự việc làm dấy lên cuộc tranh luận về giới hạn của việc tự quản lý tài sản (self-custody). Ví cứng vốn được coi là một trong những lựa chọn mạnh nhất để lưu trữ bitcoin ngoại tuyến, nhưng trường hợp Coldcard cho thấy ngay cả các thiết bị lâu đời cũng có thể chứa lỗ hổng nghiêm trọng mà nhiều năm không bị phát hiện.
Tự quản lý tài sản (self-custody) là việc người dùng tự nắm giữ và kiểm soát khóa riêng tư của mình thay vì giao cho bên thứ ba như sàn giao dịch.
Câu hỏi thường gặp
Sự cố Coldcard là gì?
Vào ngày 30/7, kẻ tấn công đã khai thác lỗ hổng firmware có từ tháng 3/2021 trên một số mẫu Coldcard, làm suy yếu tính ngẫu nhiên tạo hạt giống khôi phục, từ đó đánh cắp khoảng 1.082 BTC (~70 triệu USD) từ 1.196 địa chỉ.
Tôi có nên ngừng sử dụng ví cứng không?
Không nhất thiết. Ví cứng vẫn là một trong những lựa chọn an toàn nhất, nhưng không hoàn hảo. CZ khuyên nên chia nhỏ số dư vào nhiều ví để giảm thiểu rủi ro.
Làm thế nào để bảo vệ tiền mã hóa của tôi sau sự cố này?
Hãy cập nhật firmware mới nhất cho thiết bị, tạo hạt giống khôi phục mới trên thiết bị đã vá lỗi và chuyển tiền sang hạt giống mới. Ngoài ra, cân nhắc phân tán tài sản trên nhiều ví khác nhau.
Ví cứng là gì?
Ví cứng là một thiết bị vật lý lưu trữ khóa riêng tư ngoại tuyến, giúp bảo vệ tài sản khỏi nhiều loại tấn công mạng.
Nguồn: CoinDesk Market
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
