Tóm tắt nhanh: Một lỗ hổng trong ví Bitcoin Electrum cho phép các server độc hại thay thế giao dịch đang chờ xác nhận bằng giao dịch giả, và người dùng có thể vô tình ký duyệt giao dịch đó khi bấm tăng phí để giao dịch nhanh hơn (tính năng Replace-by-Fee). Ít nhất một trường hợp mất tiền thật đã được xác nhận trước khi bản vá ra đời. Ngày 24/10, Electrum phát hành phiên bản 4.8.3 bổ sung bước kiểm tra chữ ký với các giao dịch chưa được xác nhận, nhưng những phiên bản cũ hơn vẫn bị ảnh hưởng nếu kết nối tới server xấu. Người dùng chỉ kết nối với các server tin cậy — kể cả server do chính mình vận hành — không nằm trong diện bị tấn công. Giới phát triển khuyến nghị nâng cấp ngay và kiểm tra kỹ địa chỉ nhận cùng số tiền trước khi ký giao dịch.
Nội dung chi tiết
Một lỗ hổng bảo mật trong ví Bitcoin Electrum đã cho phép các server độc hại lừa người dùng ký những khoản thanh toán chuyển tiền cho kẻ tấn công, đúng vào lúc họ muốn đẩy nhanh một giao dịch đang bị kẹt. Phía phát triển xác nhận có ít nhất một trường hợp tiền đã bị đánh cắp.
Electrum — một trong những ví Bitcoin phần mềm lâu đời nhất — công bố lỗ hổng này vào thứ Bảy, cho biết một số server đã bắt đầu khai thác. Trong tháng 10, nhóm phát triển nhận được hai báo cáo, trong đó có một người dùng mất tiền sau khi phê duyệt một thao tác trông như tăng phí giao dịch thông thường.
Electrum là ví Bitcoin dạng phần mềm, không tải toàn bộ chuỗi khối (blockchain) về máy như một node đầy đủ mà dựa vào các server bên ngoài để lấy lịch sử giao dịch và phát giao dịch lên mạng lưới. Chính sự phụ thuộc này là điểm yếu bị khai thác trong vụ việc.
Bitcoin node (node đầy đủ) là máy chạy phần mềm Bitcoin, tự lưu và tự kiểm tra toàn bộ dữ liệu blockchain, nhờ đó không phải tin vào bên thứ ba khi xác minh giao dịch.
Lỗ hổng bị khai thác như thế nào?
Cuộc tấn công lợi dụng cách Electrum xử lý các khoản thanh toán bitcoin chưa được mạng lưới xác nhận. Trước khi có bản vá, ví tin tưởng tuyệt đối vào báo cáo của server về các giao dịch đang chờ, mà không kiểm tra xem chữ ký của chúng có hợp lệ hay không.
Kẻ tấn công kiểm soát một trong các server đó có thể chặn một khoản thanh toán trước khi nó lên tới mạng Bitcoin, rồi thay thế nó trong lịch sử hiển thị của ví bằng một giao dịch giả. Giao dịch giả này tiêu số coin của người dùng và chuyển tới địa chỉ do kẻ tấn công nắm giữ, sử dụng chữ ký không hợp lệ mà Electrum không phát hiện ra.
Ví sau đó vẫn hiển thị khoản thanh toán giả là đang chờ xử lý, và cái bẫy chỉ sập khi người dùng muốn giao dịch nhanh hơn.
Replace-by-Fee (RBF) là tính năng của Bitcoin cho phép thay một giao dịch chưa được xác nhận bằng phiên bản khác có mức phí cao hơn, nhằm thúc đẩy giao dịch được đưa vào khối sớm hơn.
Nếu người dùng chọn tính năng này, Electrum có thể lấy giao dịch gian lận và ký một bản thay thế hợp lệ, qua đó chuyển coin thẳng cho kẻ tấn công.
Trong một trường hợp được báo cáo, giao dịch độc hại được gắn mức phí bằng 0, khiến nó trông như bị kẹt hoàn toàn. Kẻ tấn công còn tạo các địa chỉ nhận có 4 ký tự cuối trùng với địa chỉ đích hợp pháp, khiến việc phát hiện dấu hiệu bất thường khi kiểm tra nhanh trở nên khó hơn.
Hai báo cáo và mốc thời gian
- 11/10: Báo cáo đầu tiên được gửi tới nhóm phát triển, liên quan một ví đa chữ ký 2/3 dùng hai thiết bị phần cứng Trezor. Người dùng này đã kiểm tra khoản thanh toán hợp pháp trên cả hai thiết bị, nhưng sau đó phát hiện một giao dịch gửi đi khác trong lịch sử ví. Trường hợp này chưa ghi nhận mất tiền.
- 18/10: Người dùng thứ hai báo cáo đã tăng phí cho một giao dịch bị thay thế và mất tiền.
- 24/10: Electrum phát hành phiên bản 4.8.3, bổ sung kiểm tra chữ ký với các giao dịch chưa xác nhận có sử dụng coin từ chính ví của người dùng.
Ví đa chữ ký (multisig) là loại ví yêu cầu nhiều chữ ký khác nhau để phê duyệt một giao dịch, ví dụ mô hình 2/3 nghĩa là cần 2 trong số 3 chữ ký. Ví phần cứng là thiết bị vật lý lưu khoá riêng tư tách biệt khỏi máy tính, giúp hạn chế rủi ro bị đánh cắp qua mạng.
Bản vá và khuyến nghị
Nhóm phát triển Electrum không công bố số tiền bị đánh cắp cũng như danh tính các server độc hại. Bản vá xuất hiện 6 ngày sau khi vụ trộm đầu tiên được báo cáo. Tuy nhiên, các phiên bản cũ hơn vẫn dễ bị tổn thương trước kiểu tấn công này nếu người dùng kết nối tới server xấu.
Khuyến nghị từ nhóm phát triển: nâng cấp lên phiên bản mới nhất, đồng thời kiểm tra kỹ địa chỉ nhận và số tiền trước khi ký bất kỳ giao dịch nào. Những người chỉ kết nối với các server họ tin cậy — bao gồm server tự vận hành — không bị ảnh hưởng bởi cuộc tấn công này.
Bản chất sự cố nằm ở chỗ ví tin vào dữ liệu do bên thứ ba cung cấp mà thiếu bước xác minh chữ ký — một bài học quen thuộc về nguyên tắc tự mình kiểm chứng trong thế giới tiền mã hoá.
Câu hỏi thường gặp
Tôi đang dùng Electrum, tôi cần làm gì?
Hãy nâng cấp lên phiên bản 4.8.3 hoặc mới hơn. Bản vá này bổ sung bước kiểm tra chữ ký cho các giao dịch chưa xác nhận có sử dụng coin từ ví của bạn. Các phiên bản cũ vẫn có thể bị khai thác nếu kết nối tới server độc hại.
Vì sao bấm tăng phí giao dịch lại khiến mất tiền?
Vì tính năng Replace-by-Fee cho phép thay một giao dịch chưa xác nhận bằng phiên bản phí cao hơn. Nếu server độc hại đã tráo giao dịch thật bằng giao dịch giả, thao tác tăng phí của bạn sẽ khiến ví ký hợp lệ cho giao dịch giả đó, chuyển coin cho kẻ tấn công.
Ai không bị ảnh hưởng bởi lỗ hổng này?
Những người dùng chỉ kết nối với các server tin cậy, bao gồm server do chính họ vận hành, không bị tấn công theo cách này. Rủi ro chỉ xuất hiện khi ví kết nối với server do kẻ tấn công kiểm soát.
Số tiền bị đánh cắp là bao nhiêu?
Nhóm phát triển Electrum chưa công bố số tiền bị mất cũng như chưa xác định danh tính các server độc hại. Chỉ có thông tin rằng ít nhất một người dùng đã mất tiền sau khi tăng phí cho giao dịch bị thay thế.
Làm sao kiểm tra giao dịch trước khi ký an toàn hơn?
Hãy kiểm tra kỹ toàn bộ địa chỉ nhận và số tiền, không chỉ nhìn lướt vài ký tự đầu hoặc cuối, vì kẻ tấn công có thể tạo địa chỉ trùng 4 ký tự cuối với địa chỉ hợp pháp. Với ví đa chữ ký, cần đối chiếu thông tin trên từng thiết bị trước khi phê duyệt.
Dịch và biên tập lại theo nguồn: CoinDesk Bitcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
