BTCPay Server, nhà cung cấp giải pháp thanh toán bitcoin mã nguồn mở, đã công bố phần thưởng trị giá 10% số bitcoin thu hồi được, tối đa 3 BTC (khoảng 190.000 USD hiện tại), cho bất kỳ ai cung cấp thông tin giúp thu hồi số tiền bị đánh cắp, bao gồm cả kẻ tấn công. Vụ việc bắt nguồn từ lỗ hổng cho phép tin tặc chiếm quyền truy cập vào thông tin xác thực LND và rút sạch ví Lightning của các thương nhân, ảnh hưởng đến Foundation và Citadel21. Dự án đang hợp tác với các sàn giao dịch, công ty phân tích blockchain và cơ quan thực thi pháp luật để truy vết dòng tiền. Ngoài ra, BTCPay cũng trả thưởng 0,21 BTC cho nhà phát triển Craig Raw và Bitcoin Red Team vì đã có trách nhiệm tiết lộ lỗ hổng bảo mật.
BTCPay treo thưởng 10% số tiền thu hồi
Ngày 10/8 (giờ địa phương), BTCPay Server thông báo treo thưởng cho việc thu hồi bitcoin bị đánh cắp từ các thương nhân vào tuần trước. Phần thưởng bằng 10% số tài sản khôi phục được, tối đa 3 BTC, tương đương khoảng 190.000 USD theo giá hiện tại.
Ưu đãi này mở cho bất kỳ ai có thông tin hữu ích, kể cả kẻ tấn công. Dự án yêu cầu người cung cấp thông tin gửi đến địa chỉ email bảo mật và có thể yêu cầu kênh liên lạc an toàn. Trong trường hợp có nhiều báo cáo dẫn đến thành công, phần thưởng sẽ được chia cho các nạn nhân theo tỷ lệ tổn thất và mức độ hữu ích của thông tin.
Điều khoản phần thưởng
- 10% số bitcoin thu hồi được, tối đa 3 BTC (~190.000 USD).
- Mở cho bất kỳ ai có thông tin hữu ích, bao gồm cả kẻ tấn công.
- Nếu nhiều nguồn dẫn đến thu hồi, phần thưởng chia cho nạn nhân theo tỷ lệ tổn thất.
- Người cung cấp thông tin liên hệ qua email bảo mật; kênh an toàn có sẵn theo yêu cầu.
Lỗ hổng trong LND gây thiệt hại
Kẻ tấn công đã khai thác lỗ hổng vào tuần trước để giành quyền truy cập vào thông tin xác thực của LND – phần mềm phổ biến nhất để chạy nút Lightning – và rút sạch các ví liên quan. LND (Lightning Network Daemon) là một triển khai phần mềm mã nguồn mở của giao thức Lightning Network, giao thức thanh toán lớp 2 được thiết kế để tăng tốc độ và giảm chi phí giao dịch trên bitcoin.
Nhà sản xuất ví phần cứng Foundation và ấn phẩm bitcoin Citadel21 đều báo cáo mất tiền. Tính đến nay, cả BTCPay và các nạn nhân vẫn chưa công bố tổng số tiền bị thiệt hại.
Hợp tác điều tra và khuyến nghị an toàn
Trong một bài đăng riêng, BTCPay cho biết các sàn giao dịch, công ty phân tích blockchain và cơ quan thực thi pháp luật đã đề nghị hỗ trợ truy vết tiền. Dự án cũng kêu gọi các thương nhân bị ảnh hưởng báo cáo vụ việc cho cảnh sát địa phương và bất kỳ dịch vụ nào mà số tiền được chuyển đến.
BTCPay khuyến nghị các thương nhân nên giữ tiền trong cold storage (ví lạnh – nơi lưu trữ khóa riêng tư ngoại tuyến, không kết nối Internet) và thường xuyên chuyển số tiền dư thừa ra khỏi hot wallet (ví nóng, kết nối Internet) “đặc biệt trong giai đoạn thay đổi nhanh chóng do AI thúc đẩy”.
Bitcoin Red Team – nhóm tình nguyện dùng AI quét lỗ hổng
Lỗ hổng được phát hiện bởi các nhà nghiên cứu liên kết với Bitcoin Red Team, một nỗ lực tình nguyện bắt đầu sử dụng các mô hình AI để quét mã nguồn bitcoin từ đầu tháng này. Nhóm đã nộp hàng nghìn báo cáo trên hàng trăm dự án, bao gồm báo cáo dẫn đến bản vá lần này. BTCPay đang bồi thường cho các nhà nghiên cứu: quyên góp 0,21 BTC cho nhà phát triển Craig Raw và 0,21 BTC cho quỹ Bitcoin Red Team vì đã tiết lộ bảo mật có trách nhiệm.
Câu hỏi thường gặp
BTCPay đang treo thưởng bao nhiêu?
BTCPay treo thưởng 10% số bitcoin thu hồi được, tối đa 3 BTC, tương đương khoảng 190.000 USD ở thời điểm hiện tại.
Ai có thể nhận phần thưởng?
Bất kỳ ai cung cấp thông tin hữu ích giúp thu hồi tiền, bao gồm cả kẻ tấn công.
Những ai bị ảnh hưởng bởi vụ khai thác này?
Các thương nhân sử dụng BTCPay Server có kết nối ví Lightning, trong đó đã xác nhận có Foundation và Citadel21.
Vì sao Craig Raw và Bitcoin Red Team được thưởng?
Vì họ đã phát hiện và tiết lộ lỗ hổng một cách có trách nhiệm, giúp cảnh báo sớm và giảm thiểu thiệt hại.
Làm thế nào để bảo vệ tiền khỏi các cuộc tấn công tương tự?
Nên giữ phần lớn tài sản trong cold storage, chỉ để một lượng nhỏ trong hot wallet và thường xuyên chuyển tiền thừa ra khỏi hot wallet.
Nguồn: CoinDesk Bitcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
