Tóm tắt: Một lỗ hổng trong bản firmware Coldcard phát hành tháng 3/2021 đã giúp kẻ tấn công tái tạo khóa bí mật được sinh ra từ bộ tạo số ngẫu nhiên phần mềm yếu, từ đó quét sạch bitcoin từ hàng nghìn ví lạnh. Ba đợt tấn công đã lấy đi 1.367 bitcoin (gần 89 triệu USD) từ 4.585 địa chỉ. Đợt mới nhất nhắm vào số dư nhỏ và sử dụng cấu trúc giao dịch phức tạp hơn. Galaxy Research cho rằng mỗi đợt do một kẻ vận hành, nhưng chưa thể xác định liệu có cùng một chủ thể đứng sau cả ba hay không.
Diễn biến vụ tấn công ví lạnh Bitcoin
Ngày 1/8 (giờ UTC), Galaxy Research cảnh báo về đợt quét thứ ba liên quan đến các khóa yếu do Coldcard tạo ra. Kẻ tấn công hiện nhắm vào những ví có số dư nhỏ hơn và thay đổi cách huy động tiền trên chuỗi.
Số liệu thống kê các đợt tấn công
- Tổng tổn thất: 1.367 bitcoin (~89 triệu USD).
- Tổng số địa chỉ bị ảnh hưởng: 4.585.
- Đợt 1 (30/7): 1.083 bitcoin từ 1.196 địa chỉ trong 41 phút.
- Đợt 3 (mới nhất): 208 bitcoin từ 1.912 địa chỉ, trung bình 0,1 BTC/nạn nhân.
Thay đổi chiến thuật ở đợt thứ ba
Khác với đợt đầu gom tiền vào một số địa chỉ tập trung, đợt thứ ba gửi bitcoin của mỗi nạn nhân đến một địa chỉ đích riêng, sử dụng định dạng pay-to-witness-script-hash (P2WSH) – loại địa chỉ hỗ trợ đa chữ ký hoặc khóa thời gian, thay vì loại địa chỉ khóa đơn thông thường. Mỗi lượt quét gộp trung bình 6 nạn nhân, trong khi đợt đầu xử lý từng người một. Ngoài ra, kẻ tấn công chỉ quét đường dẫn phái sinh mặc định (default derivation path) thay vì kiểm tra nhiều nhánh của cây khóa như trước.
Nguyên nhân gốc rễ
Lỗ hổng bắt nguồn từ bản firmware Coldcard phát hành tháng 3/2021. Bản này chuyển việc tạo seed (hạt giống) sang bộ tạo số ngẫu nhiên phần mềm dự đoán được, thay vì sử dụng bộ tạo số ngẫu nhiên phần cứng. Điều này dẫn đến một tập hợp khóa hữu hạn mà bất kỳ ai có thông tin và đủ sức mạnh tính toán đều có thể tái tạo lại một cách ngoại tuyến, mà không cần chạm vào thiết bị. Mặc dù lỗ hổng đã được công bố gần ba ngày, nhưng các đợt quét vẫn tiếp diễn, và lượng bitcoin trung bình mỗi lần giảm dần cho thấy phần sinh lời của tập khóa đó đã bị khai thác gần hết.
Ví lạnh là loại ví tiền mã hóa lưu trữ khóa riêng tư hoàn toàn ngoại tuyến, giúp chống lại các cuộc tấn công từ internet. Coldcard là một thiết bị ví cứng phổ biến chuyên dùng để giữ Bitcoin an toàn. Đường dẫn phái sinh là cấu trúc cây xác định cách sinh ra các khóa con từ một seed, và P2WSH là một định dạng địa chỉ cho phép gắn điều kiện chi tiêu phức tạp.
Hàm ý với người dùng
Các nhà phân tích của Galaxy Research chưa xác định được liệu cả ba đợt tấn công là do một kẻ hay nhiều kẻ khác nhau thực hiện, nhưng mỗi đợt đều có dấu hiệu của một “người vận hành” duy nhất. Người dùng ví lạnh nên kiểm tra xem firmware của mình có thuộc phiên bản lỗi hay không, nâng cấp lên bản mới nhất, và cân nhắc chuyển tiền sang ví được tạo bằng nguồn ngẫu nhiên an toàn hơn.
Câu hỏi thường gặp
Ví lạnh là gì? Tại sao ví lạnh lại bị tấn công?
Ví lạnh là loại ví lưu trữ khóa riêng tư ngoại tuyến, không kết nối internet. Tuy nhiên, nếu khóa được tạo từ bộ sinh số ngẫu nhiên yếu như trong lỗ hổng Coldcard, kẻ tấn công có thể tái tạo khóa và rút tiền mà không cần truy cập vật lý vào thiết bị.
Làm sao biết tôi có bị ảnh hưởng bởi lỗ hổng Coldcard không?
Bạn cần kiểm tra xem thiết bị Coldcard của mình có dùng firmware phát hành tháng 3/2021 hay không. Nếu có, hãy nâng cấp firmware ngay và cân nhắc chuyển tiền sang một ví mới được tạo từ nguồn ngẫu nhiên phần cứng đáng tin cậy.
Bitcoin của tôi có an toàn trong ví lạnh không?
Ví lạnh vẫn là một trong những cách lưu trữ an toàn nhất nếu được sử dụng đúng cách. Vụ tấn công này xuất phát từ một lỗ hổng cụ thể trong firmware cũ, không phải do bản chất của ví lạnh. Hãy luôn cập nhật firmware và mua thiết bị từ nguồn tin cậy.
Ai đứng sau vụ tấn công này?
Hiện chưa rõ danh tính. Galaxy Research mới chỉ xác định mỗi đợt quét có dấu hiệu của một người vận hành, nhưng chưa thể kết luận liệu ba đợt có liên quan với nhau hay không.
Nguồn: CoinDesk Bitcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
