Coldcard "mất" hơn 250 ví, 88% Bitcoin ngủ đông 3,5 năm: Ai mới là kẻ trộm?

Hơn 250 nạn nhân báo cáo mất Bitcoin từ Coldcard, một trong những dòng ví cứng được giới tự lưu ký tôn sùng nhất. Trước khi hoảng loạn, hãy nhìn vào con số: 88% số coin bị lấy cắp đã nằm im hơn một năm, trung vị thời gian "ngủ đông" lên tới 3,5 năm. Khi mọi người hỏi Coldcard còn an toàn không, tôi hỏi ngược lại: kẻ trộm làm thế nào để biết chính xác những con cá to đang ngủ ở đâu? Sự kiện này do Galaxy Research phát hiện, tính đến ngày 8/8, với nguồn tin từ giám đốc nghiên cứu. Dữ liệu cho thấy hai bức tranh khác nhau: nếu tính theo địa chỉ, trung vị thiệt hại chỉ 0,014 BTC, trung bình 0,212 BTC; nhưng nếu tính theo báo cáo nạn nhân, trung vị là 1,022 BTC và trung bình là 4,04 BTC. Điều đó có nghĩa là một người có thể báo cáo mất Bitcoin từ nhiều địa chỉ, hoặc có những nạn nhân sở hữu số lượng lớn. Cá biệt, một ví đã bốc hơi 58,97 BTC. Coldcard, sản phẩm của Coinkite, nổi tiếng với triết lý an ninh tối thượng: không camera, không Bluetooth, chỉ giao tiếp qua thẻ microSD, mã nguồn mở, không có pin. Đây là lựa chọn của những người coi trọng "air-gap" tuyệt đối. Trong giới Bitcoin, nó được ví như một két sắt Titan chứa chìa khóa trong hầm ngầm. Nhưng vụ này cho thấy ngay cả két sắt cũng có thể bị mở mà không để lại dấu vết – hoặc chìa khóa đã bị đánh cắp từ trước đó rất lâu. Hãy nhìn vào cấu trúc số liệu. Một vụ hack ví nóng thường diễn ra nhanh, nhắm vào dòng tiền đang lưu chuyển. Nhưng ở đây, phần lớn nạn nhân đều có coin nằm yên hàng năm trời. Điều này gợi ý một kịch bản khác: kẻ tấn công đã thu thập hoặc giải mã được một kho khóa riêng khổng lồ, sau đó quét toàn bộ chuỗi để xác định địa chỉ nào có số dư lớn và lâu năm. Thay vì vét sạch mọi thứ, chúng có thể ưu tiên chuyển những khoản tiền mà chủ sở hữu không còn theo dõi – khả năng phát hiện muộn sẽ cao hơn. Đây không phải là hành vi của một kẻ cơ hội, mà là của một thợ săn có phương pháp. Điểm kỹ thuật quan trọng nhất: không hề có thông tin nào về lỗ hổng cụ thể. Không có bằng chứng Coldcard bị nhiễm độc từ nhà máy, firmware bị thay thế, hay một cuộc tấn công vật lý vào thiết bị. Nếu lỗi nằm ở phần cứng, chúng ta sẽ thấy tỷ lệ thiệt hại dàn trải hơn, chứ không tập trung vào những địa chỉ ngủ đông. Con số 250 nạn nhân so với hàng chục nghìn thiết bị Coldcard đang hoạt động là quá nhỏ. Nó khiến tôi đặt câu hỏi: liệu phần còn lại của tảng băng có đang bị che giấu hay không, hay chúng ta đang nhìn vào một tập hợp con mang tính hệ thống? Khi mọi người hỏi đây có phải là một cuộc tấn công vào Coldcard hay không, tôi hỏi: bạn có chắc tất cả nạn nhân đều mua Coldcard từ kênh phân phối chính hãng? Nhiều người dùng mua lại thiết bị từ chợ đen, hoặc nhận từ "người quen". Một con chip giả hoặc firmware độc hại có thể được nhúng vào trong quá trình vận chuyển. Nếu 250 nạn nhân này đều mua từ một nguồn bên thứ ba giả mạo, thì lỗi không nằm ở Coldcard, mà nằm ở chuỗi cung ứng. Rất tiếc, báo cáo của Galaxy không công bố thông tin chi tiết về nguồn gốc thiết bị của từng nạn nhân. Tôi từng chứng kiến một người dùng tự tin khẳng định mình bị hack ví lạnh, nhưng khi kiểm tra kỹ, hóa ra anh ta đã nhập seed phrase vào một trang web giả mạo để "kiểm tra số dư" trước đó sáu tháng. Anh ta không bao giờ thừa nhận điều đó, bởi vì thừa nhận nghĩa là nhận phần lỗi về mình. Con người có xu hướng đổ lỗi cho công cụ trước, và dữ liệu "88% coin ngủ đông 3,5 năm" có thể là một cái bẫy. Số coin càng cũ thì khả năng chủ sở hữu đã quên mật khẩu, quên nơi cất giữ, hoặc đã từng "chạm tay" vào nó trong quá khứ với một thiết bị không an toàn lại càng cao. Khi mọi người hỏi 58,97 BTC bị mất là bao nhiêu, tôi hỏi: một người giữ 58 BTC trong ví lạnh sẽ có hành vi bảo mật giống một người giữ 0,014 BTC không? Chắc chắn là không. Nhưng điểm chung của họ có thể là cùng sử dụng một phần mềm quản lý danh mục đầu tư, cùng một sàn giao dịch để mua Bitcoin, hoặc cùng một phương pháp tạo seed. Nếu kẻ tấn công đã xâm nhập vào một dịch vụ tạo ví hoặc một tiện ích mở rộng trình duyệt mà cộng đồng tin dùng, thì tất cả những chiếc ví "tự tạo" đó đều bị kiểm soát từ trước, và Coldcard chỉ là một chiếc vỏ bọc vô dụng. Một chi tiết nữa: mức thiệt hại nhỏ nhất được báo cáo là 624 satoshi. Đây rõ ràng không phải là một vụ cướp có chủ đích. Nó giống như tàn dư của một cuộc quét quy mô lớn, nơi kẻ tấn công sử dụng thuật toán để chuyển đi bất cứ thứ gì có thể, kể cả bụi. Nếu một địa chỉ chỉ có 624 satoshi mà vẫn bị chuyển đi, điều đó cho thấy chúng không quan tâm đến phí giao dịch, hoặc chúng đang muốn xóa sạch mọi dấu vết trên một tập hợp các địa chỉ liên quan. Điều này càng củng cố giả thuyết về một cơ sở dữ liệu khóa riêng bị rò rỉ, chứ không phải một lỗ hổng mang tính kỹ thuật đối với Coldcard. Thậm chí, có thể thống kê của Galaxy đang trộn lẫn những nạn nhân của các vụ lừa đảo khác vào cùng một rổ. Những người mất Bitcoin vì bị lừa chuyển tiền, vì sàn giao dịch sụp đổ, hoặc vì mất seed phrase trên giấy – tất cả đều có thể được gắn nhãn "Coldcard security incident" nếu họ sở hữu một chiếc Coldcard. Đây là một sai lầm phương pháp luận phổ biến trong các báo cáo an ninh nếu không có bằng chứng kỹ thuật rõ ràng về vector tấn công. Nếu chúng ta không cẩn thận, chúng ta sẽ xây dựng một câu chuyện hoang tưởng dựa trên một mớ dữ liệu nhiễu. Trong bối cảnh thị trường đang giảm và tâm lý sợ hãi bao trùm, một báo cáo kiểu này có thể gây ra làn sóng bán tháo không cần thiết. Khi mọi người hỏi tôi có nên rút Bitcoin khỏi Coldcard không, tôi hỏi: bạn đã kiểm tra chữ ký số của firmware chưa? Bạn đã sử dụng passphrase (mật khẩu phụ) hay chưa? Bạn có chắc seed phrase của bạn chưa từng chạm vào bất kỳ thiết bị nào có kết nối Internet? Nếu bạn trả lời "không" cho bất kỳ câu hỏi nào, thì vấn đề không nằm ở Coldcard, mà nằm ở chính quy trình của bạn. Hãy nhìn vào bức tranh lớn: vụ này không làm thay đổi nền tảng kỹ thuật của ví cứng. Nó chỉ cho thấy rằng "an toàn" là một khái niệm tương đối. Một thiết bị có thể an toàn tuyệt đối khi được sử dụng đúng cách, nhưng nó trở nên vô nghĩa khi người dùng đã phá vỡ các nguyên tắc cơ bản từ trước. Điều duy nhất tôi thấy chắc chắn sau sự kiện này: kẻ trộm không ngủ. Còn bạn? Tự lưu ký không bao giờ là một điểm đến, mà là một hành trình liên tục cảnh giác. Nếu bạn đang nắm giữ một lượng Bitcoin đáng kể, đừng chờ báo cáo mới từ Galaxy hay Coinkite. Hãy tự mình kiểm tra lại toàn bộ quy trình bảo mật của bạn ngay hôm nay: seed phrase được tạo ra từ đâu, thiết bị mua ở đâu, firmware có được xác minh không, passphrase đã được thiết lập chưa. Và hãy nhớ, câu hỏi đúng không phải là "Coldcard có an toàn không