Tóm tắt
Bitcoin Core — phần mềm mà gần như toàn bộ mạng lưới bitcoin đang vận hành — sẽ không còn “ém” bản vá lỗi bảo mật trong nhiều tháng nếu lỗi đó có thể bị một mô hình trí tuệ nhân tạo phát hiện lại chỉ bằng một câu lệnh đơn giản. Các nhà duy trì dự án đã thông qua thay đổi chính sách này trong tuần qua, chấm dứt cơ chế cấm công bố (embargo) kéo dài hàng tháng, thậm chí gần một năm, vốn được thiết kế cho thời kỳ mà việc tìm ra lỗi còn đòi hỏi tay nghề cao.
- Lỗi dễ phát hiện bằng AI sẽ được vá và công bố “càng sớm càng tốt”, kèm một bản tin bảo mật có thông tin chi tiết.
- Đánh đổi: bản vá sẽ có ít thời gian kiểm thử (“bake time”) hơn trước khi đến tay người dùng.
- Bối cảnh: một nhóm tình nguyện 16 nhà phát triển tự gọi là Bitcoin Red Team đã chạy mô hình AI trên 390 dự án bitcoin trong khoảng một ngày cuối tháng 7, ghi nhận 4.962 phát hiện, trong đó 85 lỗi nghiêm trọng.
- Vụ thiệt hại lớn nhất không đến từ AI: lỗi trong firmware ví phần cứng Coldcard bị khai thác khiến 594 BTC bị rút trong 25 phút ngày 30/7, tổng thiệt hại gần 114 triệu USD qua bốn đợt tấn công.
Nội dung chi tiết
Chính sách cũ và lý do nó sụp đổ
Trước đây, Bitcoin Core phân loại mọi lỗ hổng được báo cáo theo mức độ nghiêm trọng và ấn định thời điểm công bố tương ứng. Các lỗi mức độ thấp được công bố hai tuần sau khi phiên bản lớn kế tiếp phát hành. Lỗi mức trung bình và cao thì nằm trong diện cấm công bố cho đến hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng hết vòng đời hỗ trợ.
Embargo (thời gian cấm công bố) là cơ chế theo đó nhà phát triển giữ kín thông tin về một lỗ hổng trong một khoảng thời gian nhất định, để người vận hành hệ thống có cơ hội cập nhật bản vá trước khi kẻ tấn công biết đến lỗ hổng đó.
Logic của cách làm cũ rất rõ ràng: vá lặng lẽ và chỉ giải thích rất lâu sau đó sẽ ngăn kẻ tấn công biết về lỗ hổng trước khi những người chạy node kịp nâng cấp.
Node là máy tính trong mạng lưới bitcoin có nhiệm vụ kiểm tra và chuyển tiếp mọi giao dịch bitcoin, đồng thời lưu giữ một bản sao đầy đủ của sổ cái blockchain.
Tuy nhiên, quy tắc cũ được xây dựng cho một thế giới mà việc tìm ra lỗi đòi hỏi kỹ năng, và sự phổ biến của các công cụ AI đã phá vỡ cách vận hành đó.
“Gần đây chúng tôi ghi nhận số lượng báo cáo về lỗ hổng bảo mật có thể dễ dàng bị (tái) phát hiện tăng lên. Phần lớn là do các LLM đã hạ thấp mạnh rào cản để tìm ra một số nhóm vấn đề nhất định hoặc để nhận diện những bản vá được ngụy trang.” — Antoine Poinsot, nhà phát triển của Chaincode Labs, tác giả đề xuất thay đổi.
LLM (mô hình ngôn ngữ lớn) là loại mô hình trí tuệ nhân tạo được huấn luyện trên khối lượng văn bản và mã nguồn khổng lồ, có khả năng đọc hiểu, phân tích và sinh mã; trong bối cảnh này, LLM có thể được dùng để rà soát mã nguồn và chỉ ra lỗi bảo mật.
Cơ chế mới hoạt động thế nào
Theo chính sách mới, Bitcoin Core có thể gắn nhãn một lỗi là “dễ phát hiện” ngay trong bước phân loại, nghĩa là trên thực tế lỗi đó “có thể được tìm ra chỉ bằng một câu lệnh đơn giản gửi cho một LLM”. Những lỗi này sẽ được vá và sao chép ngược về mọi phiên bản mà Core còn hỗ trợ, phát hành trong một bản cập nhật nhỏ “càng sớm càng có thể”, kèm theo một bản tin bảo mật chứa một số thông tin chi tiết.
“Với những vấn đề dễ tìm thấy này, đây là sự đánh đổi sai lầm. Giai đoạn cấm công bố chẳng đạt được gì nhiều nhưng lại làm chậm thời điểm có bản vá,” chính sách mới viết về quy định cũ.
Tuy vậy, Poinsot thừa nhận các bản vá sẽ “không có nhiều thời gian ‘ủ’ (bake time)” để kiểm thử trước khi đến tay người dùng.
Bất đồng trong nội bộ
Không phải nhà phát triển nào cũng đồng tình với mức độ thay đổi này. Antoine Riard, một nhà nghiên cứu bảo mật bitcoin lâu năm, muốn Bitcoin Core giữ tùy chọn phát hành bản vá mà không kèm bản tin bảo mật, đồng thời giữ lại thông tin chi tiết tùy từng trường hợp.
Poinsot từ chối. “Thông báo cho người dùng về một lỗ hổng bảo mật mà không kèm bất kỳ chi tiết nào có thể tạo ra rủi ro nhiều hơn một cách không cần thiết,” ông viết, chỉ ra nguy cơ “người dùng vội vàng chuyển đổi trong khi lẽ ra họ không bị ảnh hưởng”.
Một mùa hè AI tìm lỗi nhanh hơn con người
Nhóm tình nguyện gồm 16 nhà phát triển tự gọi mình là Bitcoin Red Team đã chạy các mô hình AI trên 390 dự án bitcoin trong khoảng một ngày vào cuối tháng 7 và ghi nhận 4.962 phát hiện, trong đó 85 lỗi nghiêm trọng.
Chỉ trong vài ngày, một lỗi của BTCPay Server mà nhóm đã báo cáo riêng đã bị khai thác trên các máy chủ thương nhân đang hoạt động thực tế. Các cuộc tấn công rút cạn các node Lightning mà thương nhân dùng để nhận thanh toán bitcoin nhỏ. Core Lightning, một trong những bản triển khai Lightning chính, đã yêu cầu người vận hành ngắt kết nối sau khi các báo cáo do AI tạo ra gửi đến nhóm nhỏ của mình hóa ra là thật.
Lightning Network là mạng lưới thanh toán lớp hai chạy trên nền bitcoin, cho phép chuyển tiền nhanh và rẻ hơn bằng các kênh thanh toán song phương thay vì ghi mọi giao dịch trực tiếp lên blockchain.
Tổn thất lớn hơn lại đến từ một lỗi mà không cần AI tìm ra. Một lỗ hổng trong firmware ví phần cứng Coldcard, tồn tại âm thầm từ năm 2021, đã cho phép kẻ tấn công rút 594 BTC chỉ trong 25 phút ngày 30/7, và thiệt hại lên tới gần 114 triệu USD qua bốn đợt quét.
Ví phần cứng (hardware wallet) là thiết bị vật lý lưu khóa riêng tư của tiền mã hóa tách biệt khỏi internet, nhằm giảm nguy cơ bị đánh cắp qua mạng; firmware là phần mềm điều khiển chạy trên thiết bị đó.
Khi Coldcard phát hành bản vá, hãng cho biết AI đã giúp phát hiện thêm nhiều lỗi trong quá trình này.
Chưa có lỗi nào được gắn nhãn theo quy định mới, nhưng một bí mật mà bất kỳ mô hình nào cũng có thể tái tạo chỉ bằng một câu lệnh thì không thể bảo vệ người dùng được lâu.
Câu hỏi thường gặp
Bitcoin Core đã thay đổi quy định bảo mật như thế nào?
Dự án sẽ không còn giữ kín bản vá trong nhiều tháng đối với những lỗi mà AI có thể phát hiện lại dễ dàng. Những lỗi này được vá cho mọi phiên bản còn hỗ trợ, phát hành trong một bản cập nhật nhỏ càng sớm càng tốt, kèm bản tin bảo mật có thông tin chi tiết.
Vì sao chính sách cũ không còn phù hợp?
Chính sách cũ được thiết kế cho thời kỳ việc tìm lỗi đòi hỏi kỹ năng cao. Sự phổ biến của các mô hình ngôn ngữ lớn (LLM) đã hạ thấp mạnh rào cản, khiến số báo cáo về các lỗ hổng dễ tái phát hiện tăng lên, và việc cấm công bố chỉ làm chậm thời điểm có bản vá.
Nhóm Bitcoin Red Team đã tìm ra bao nhiêu lỗi?
Nhóm gồm 16 nhà phát triển tình nguyện đã chạy mô hình AI trên 390 dự án bitcoin trong khoảng một ngày vào cuối tháng 7, ghi nhận 4.962 phát hiện, trong đó 85 lỗi nghiêm trọng.
Vụ ví phần cứng Coldcard gây thiệt hại bao nhiêu?
Một lỗ hổng trong firmware Coldcard tồn tại từ năm 2021 đã bị khai thác để rút 594 BTC trong 25 phút ngày 30/7, với tổng thiệt hại gần 114 triệu USD qua bốn đợt tấn công.
Thay đổi này có rủi ro gì?
Đánh đổi chính là các bản vá sẽ có ít thời gian kiểm thử trước khi đến tay người dùng. Ngoài ra, một số nhà phát triển như Antoine Riard muốn giữ tùy chọn phát hành bản vá mà không kèm bản tin bảo mật, nhưng đề xuất đó đã bị từ chối vì có thể gây rủi ro không cần thiết.
Dịch và biên tập lại theo nguồn: CoinDesk Bitcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
