Lỗ hổng bảo mật ví Coldcard bị khai thác, Bitcoin trị giá hơn 100 triệu USD bị đánh cắp, thị trường lo ngại

Một lỗ hổng tồn tại từ 5 năm trước bất ngờ trở thành nguyên nhân của vụ trộm Bitcoin lớn nhất năm nay. Ngày 30/7, hệ thống ghi nhận dấu hiệu bất thường khi hàng trăm BTC nhanh chóng được gom từ hàng trăm địa chỉ. Sau đó, quy mô tấn công mở rộng khi kẻ thực hiện quét hàng nghìn địa chỉ Bitcoin và đánh cắp gần 2.000 BTC, trị giá hàng trăm triệu USD. Nguyên nhân nhanh chóng được khoanh vùng: lỗi trong quy trình tạo cụm từ ghi nhớ (mnemonic) của ví phần cứng Coldcard, liên quan đến vấn đề số ngẫu nhiên yếu, khiến giá trị ngẫu nhiên có thể bị dự đoán. Do Coldcard ít người dùng tại Trung Quốc, sự việc ban đầu không tạo nhiều chú ý trong nước, nhưng tại thị trường quốc tế—nơi Coldcard rất phổ biến—đã gây chấn động. Sau vài ngày lan rộng, tâm lý hoảng loạn lên mức cao. Ngày 31/7, tổng khối lượng chuyển BTC dưới 1 BTC đạt 39.600 BTC, mức cao nhất kể từ cú sập FTX năm 2022. Nhiều ý kiến cho rằng lỗ hổng lần này có thể đã được một mô hình AI phát hiện và khai thác, gợi nhớ tác động từng xảy ra với Zcash khi giá giảm 50% chỉ trong một ngày. Dù dữ liệu thị trường chưa phản ánh hết, tác động lớn nhất nằm ở niềm tin—yếu tố khó định lượng. Để ghi nhận góc nhìn tuyến đầu, BlockBeats trao đổi với ông Yu Xian (Cosine), nhà sáng lập SlowMist, người đang hỗ trợ một số nạn nhân và theo sát vụ việc. Theo ông, tác động của vụ trộm lần này đặc biệt sâu rộng vì đánh thẳng vào cộng đồng cốt lõi tin tưởng Bitcoin. BlockBeats: Coldcard đã thuê công ty an ninh để hỗ trợ thu hồi tài sản chưa? Với số BTC bị lấy cắp hiện trị giá hơn 100 triệu USD, khả năng thu hồi thế nào? Cosine: Hiện chưa rõ nhóm hacker nào đứng sau; cần phân tích cách họ dịch chuyển tài sản trong các bước tiếp theo để suy đoán nguồn gốc. Nếu cuối cùng xác nhận là tổ chức hacker được nhà nước hậu thuẫn (ví dụ nhóm Triều Tiên), việc thu hồi sẽ cực kỳ khó. Ngoài việc phát đi một số khuyến cáo bảo mật, đội ngũ chính thức chưa thuê đội an ninh. Hiện các nạn nhân bị mất tài sản từ thiết bị Coldcard đã chủ động liên hệ chúng tôi để hỗ trợ. BlockBeats: Xét theo các chi tiết hiện có, cốt lõi là số ngẫu nhiên không còn "ngẫu nhiên". Trong lịch sử crypto, sự cố liên quan ngẫu nhiên gần như năm nào cũng có, vì sao lần này lại bị xem là đặc biệt nghiêm trọng? Cosine: Nếu chỉ nhìn số lượng và giá trị, vài nghìn BTC không phải lớn nhất lịch sử. Trước đây từng có Mt. Gox, BitFinex, hay sự cố liên quan LBank pool khiến mất hàng trăm nghìn, thậm chí hàng triệu BTC; một vụ hack bridge đơn lẻ cũng có thể vượt con số này. Vấn đề nằm ở chỗ Coldcard vốn có danh tiếng rất tốt: mã nguồn mở, minh bạch, tối giản, được nhiều Bitcoin OG và nhóm tin tưởng Bitcoin ưa chuộng lâu dài. Một sản phẩm được xem gần như "không có điểm yếu" mà gặp sự cố sẽ gây cú sốc lớn cho tệp người dùng trung thành nhất. Cốt lõi kỹ thuật là entropy khi tạo mnemonic quá thiếu, khiến seed có độ ngẫu nhiên thấp hơn nhiều so với kỳ vọng, tạo điều kiện để kẻ tấn công brute-force va chạm và khôi phục mnemonic của người dùng. Đây là lỗi bảo mật nền tảng và nguy hiểm nhất trong việc bảo vệ tài sản crypto. Điều khó chấp nhận là khi mô hình AI mạnh đã phổ biến, cả Coldcard lẫn cộng đồng tin tưởng Bitcoin lại không chủ động dùng AI để rà soát mã, trong khi hacker thì làm. Nếu chỉ tập trung vào lỗi liên quan độ ngẫu nhiên của seed mnemonic, AI hiện đại có thể phát hiện tương đối dễ. BlockBeats: Theo cách nhìn đó, vụ trộm này có thể tạo tác động lan rộng lên ngành crypto? Cosine: Khi một ví phần cứng dạng "geek", mã nguồn mở lâu năm bị lỗi trong bối cảnh mọi người mặc định nó "hoàn hảo", niềm tin đối với các sản phẩm tương tự sẽ suy giảm mạnh. Người dùng sẽ tự hỏi: ví tôi đang dùng có vấn đề không? mnemonic tôi tạo sau này có còn an toàn? BlockBeats: Anh có khuyến nghị các dự án crypto nên tự chạy công cụ AI để quét mã tìm lỗ hổng không? SlowMist hiện làm thế nào? Cosine: Tôi khuyến nghị làm. Tác động của AI lên toàn ngành an ninh lớn hơn nhiều so với công chúng đang hình dung. Hacker gần như không bị ràng buộc và có thể chủ động xây mô hình mạnh, còn bên phòng thủ bị giới hạn bởi quyền truy cập mô hình, năng lực tính toán, kiểm duyệt và nhiều ràng buộc khác. Chúng tôi không thể kiểm toán mã nguồn các blockchain công khai như Bitcoin hay Ethereum do hạn chế nguồn lực, nên ưu tiên cho khách hàng trọng yếu để giảm rủi ro trong kỷ nguyên AI. Khi dùng AI rà soát lại các dự án cũ, chúng tôi đã phát hiện nhiều vấn đề từng bị bỏ sót; hiệu quả rất tốt. BlockBeats: Điều này dẫn tới một câu hỏi bi quan hơn: khi mô hình ngày càng mạnh, liệu mức độ hoài nghi với công nghệ crypto đời đầu có tăng lên, như từng xảy ra với Zcash? Cosine: Chắc chắn. An ninh không bao giờ đạt 100%; tấn công và phòng thủ luôn leo thang theo nhau. Hacker có động lực và khả năng tận dụng AI lớn hơn bên phòng thủ, vì chỉ cần xâm nhập thành công là có thể trực tiếp kiếm tiền, tỷ suất lợi nhuận rất cao. Bên phòng thủ lại bị ràng buộc bởi quy trình và nguồn lực. Trong thế mất cân đối đó, các sự cố vượt xa quy mô trước đây là điều khó tránh—thiệt hại có thể lên tới hàng tỷ USD—và ngay cả mã của Bitcoin cũng có thể bị phát hiện lỗ hổng trong tương lai. Dù vậy, tôi không bi quan về khả năng ngành thích ứng: tấn công và phòng thủ sẽ luôn song hành, và hệ thống mật mã sẽ dần vững chắc hơn theo thời gian. BlockBeats: Gần đây có quan điểm nhấn mạnh ưu thế của sàn giao dịch tập trung, cho rằng giữ tài sản trên sàn an toàn hơn. Anh nghĩ sao? Cosine: Một số sàn tập trung top đầu đã đầu tư bài bản cho an ninh nền tảng và có năng lực ứng phó khi xảy ra vấn đề, trừ trường hợp thảm họa đặc biệt nghiêm trọng. Phần lớn người dùng khó tự xử lý các việc phức tạp như mnemonic hay thiết lập multisig; trước đây họ chọn ví chủ yếu theo truyền miệng và lời khuyên từ người quen. Sự cố lần này khiến người dùng nhận ra ngay cả ví được tin tưởng rộng rãi cũng có thể có lỗ hổng, nên một bộ phận cảm thấy yên tâm hơn khi để tài sản ở các sàn uy tín—đó là góc nhìn hợp lý. BlockBeats: Với người dùng phổ thông không rành kỹ thuật và không thể tự đọc mã ví, nên tự bảo vệ thế nào trước sự cố kiểu Coldcard? Cosine: Thứ nhất, khuyến nghị tất cả người dùng bật passphrase cho mnemonic—mật khẩu thứ hai bổ sung một lớp bảo vệ, an toàn hơn rất nhiều so với không dùng passphrase. Nên dùng passphrase tối thiểu 8 ký tự, có độ phức tạp nhất định, và tuyệt đối không được quên. Hầu hết ví phần cứng phổ biến hiện đã hỗ trợ. Nếu sự cố tương tự xảy ra, hacker thường ưu tiên chuyển tiền từ các địa chỉ không có passphrase, giúp phần tài sản chính của bạn được bảo vệ tốt hơn. Có thể giữ một khoản nhỏ ở địa chỉ không có passphrase và để khoản lớn ở các địa chỉ có passphrase. Nếu khoản nhỏ bị rút, đó là tín hiệu seed đã bị lộ; trong khi chi phí brute-force passphrase đủ lớn để mua cho bạn thêm thời gian. Với người hoàn toàn mới và không quen ngành, cách đơn giản là sử dụng dịch vụ của các tổ chức tập trung và dựa vào họ khi xảy ra sự cố. Ngoài ra, ba khuyến nghị chung: · Rà soát tài sản: tự kiểm tra xem bạn có nhớ mơ hồ quá trình tạo ví, hoặc seed phrase có thể đã bị lộ hay không. Nếu còn bất kỳ nghi ngờ nào, nên cân nhắc thay đổi cách lưu trữ. · Giữ bình tĩnh: tránh vì vội mà tải ví giả hoặc dính lừa đảo phishing. · Tư duy cô lập: chuyển các tài sản còn nghi ngờ sang một thiết bị riêng (kể cả thiết bị có thể ngắt internet), không trộn chung—an toàn hơn nhiều so với mặc định mọi thứ ổn. Thực hiện các bước này có thể giúp giảm hơn 90% rủi ro phổ biến.